mandiant/capa-rules

detect opening of services often referenced by ransomware

Open

#1.048 geöffnet am 22. Mai 2025

Auf GitHub ansehen
 (1 Kommentar) (0 Reaktionen) (0 zugewiesene Personen) (234 Forks)github user discovery
good first issuehelp wantedrule idea

Repository-Metriken

Stars
 (721 Stars)
PR-Merge-Metriken
 (PR-Metriken ausstehend)

Beschreibung

Ransomware may attempt to open and stop specific services during execution, e.g. to stop critical backup and recovery services. The rule should include a list of target service names combined with Windows API calls, e.g. OpenService.

Example list: https://github.com/netskopeoss/NetskopeThreatLabsIOCs/blob/10b21b2fa5f280ea414fdbb47ea74c0386ab9587/Malware/BlackMatter/IOCs/README.md?plain=1#L58-L94

Contributor Guide

Research-Richtung
Überprüfen Sie die Dokumentation des capa Regelformats. Verwenden Sie die bereitgestellte Liste von Dienstnamen. Schreiben Sie eine Regel, die Aufrufe von OpenService oder ähnlichen APIs mit diesen Dienstnamen erkennt. Testen Sie die Regel an einer Ransomware Stichprobe, die Dienste stoppt.
Tech Stack
python
Domain
security
Issue Type
Funktion
SchwierigkeitGeschätzte Implementierungsschwierigkeit für neue Contributors, von 1 für sehr kleine Änderungen bis 5 für Expertenarbeit.
2
Geschätzte ZeitEin grober Zeitrahmen, um zu recherchieren, zu implementieren, zu testen und einen Pull Request vorzubereiten.
1-3 Stunden
AktivitätsstatusWie verfügbar das Issue gerade wirkt: frisch, aktiv, stale, blockiert oder wartet auf Maintainer-Input.
Aktiv
KlarheitWie klar das Issue die erwartete Änderung, Akzeptanzkriterien und den nächsten Schritt erklärt.
Klar
Voraussetzungen
Windows APIcapa rules
EinsteigerfreundlichkeitEin Score von 1 bis 100, der schätzt, wie zugänglich dieses Issue für First-Time Contributors ist.
60