QuantLoader.yar

rule QuantLoader {
    meta:
        author = "FDD"
        description = "QuantLoader Payload"
        cape_type = "QuantLoader Payload"

    strings:
        $payloadDownload = { 55 89 e5 83 ec 08 8b ?? ?? 89 04 24 e8 ?? ?? ?? ?? 80 ?? ?? ?? ?? ?? ?? 74 ?? c7 ?? ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? 89 04 24 e8 ?? ?? ?? ?? 80 ?? ?? ?? ?? ?? ?? 74 ?? c7 ?? ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? 89 04 24 e8 ?? ?? ?? ?? 80 ?? ?? ?? ?? ?? ?? 74 ?? c7 ?? ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? 89 04 24 e8 ?? ?? ?? ?? c9 c3 }
        $configdecrypt = { 55 89 e5 83 ec 18 ff 05 b0 98 40 00 c7 ?? ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? c7 ?? ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? c7 ?? ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? c7 ?? ?? ?? ?? ?? ?? ?? c7 44 24 04 00 00 00 00 c7 ?? ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? c7 ?? ?? ?? ?? ?? ?? ?? c7 44 24 04 00 00 00 00 c7 ?? ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? c7 ?? ?? ?? ?? ?? ?? ?? c7 44 24 04 00 00 00 00 c7 ?? ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? 80 ?? ?? ?? ?? ?? ?? 0f 84 ?? ?? ?? ?? c7 ?? ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? 89 44 24 04 c7 ?? ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? c7 ?? ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? 89 44 24 04 c7 ?? ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? c7 ?? ?? ?? ?? ?? ?? ?? c7 ?? ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? c7 ?? ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? 89 44 24 04 c7 ?? ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? a1 ?? ?? ?? ?? 89 04 24 e8 ?? ?? ?? ?? 89 44 24 04 c7 ?? ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? c7 ?? ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? 89 44 24 04 c7 ?? ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? c7 ?? ?? ?? ?? ?? ?? ?? c7 ?? ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? c7 ?? ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? 89 44 24 04 c7 ?? ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? 8b ?? ?? 89 44 24 04 c7 ?? ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? c7 ?? ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? 89 44 24 04 c7 ?? ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? c7 ?? ?? ?? ?? ?? ?? ?? c7 ?? ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? c7 ?? ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? 89 44 24 04 c7 ?? ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? c7 ?? ?? ?? ?? ?? ?? ?? c7 ?? ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? 80 ?? ?? ?? ?? ?? ?? 0f 84 ?? ?? ?? ?? c7 ?? ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? 89 44 24 04 c7 04 }
        $decryptstring = { 55 89 e5 56 53 83 ec 20 8b ?? ?? 80 ?? ?? 75 ?? c7 ?? ?? ?? ?? ?? ?? e9 ?? ?? ?? ?? c7 ?? ?? ?? ?? ?? ?? ?? c7 44 24 04 00 00 00 00 c7 ?? ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? c7 ?? ?? ?? ?? ?? ?? e8 ?? ?? ?? ?? 89 ?? ?? c7 ?? ?? ?? ?? ?? ?? 8b ?? ?? 89 04 24 e8 ?? ?? ?? ?? 3b ?? ?? 76 ?? 8b ?? ?? 81 c3 28 a9 40 00 8b ?? ?? 8b ?? ?? 01 c1 8b ?? ?? 8d ?? ?? 89 ?? ?? 89 d0 8b ?? ?? ba 00 00 00 00 f7 36 0f b6 ?? ?? ?? ?? ?? 0f b6 ?? 28 d0 88 03 8d ?? ?? ff 00 eb ?? c7 ?? ?? ?? ?? ?? ?? 8b ?? ?? 83 c4 20 5b 5e 5d c3 }
    condition:
        all of them
}