YARA Detection Rule: ClamAV_Emotet_String_Aggregate
Repository: InQuest/yara-rules
Detects: A pruned aggregate of all Emotet related strings extracted from ClamAV on 2019-07-03.
Author: InQuest Labs
Reference: https://github.com/InQuest/yara-rules

Pattern signatures:
$ = "\"A\", \"w\", \"E\", \"C\", \"j\", \"d\", \"Fc\", \"I\", _"
        $ = "\"B\", \"P\", \"wW\", \"Z\", \"iw\", \"UH\", \"c\", \"F\")"
        $ = "\"DR\", \"i\", \"O\", \"w\", \"O\", \"W\", \"Ju\", \"l\", _"
        $ = "\"E\", \"vr\", \"d\", \"h\", \"z\", \"O\", \"k\", \"Fm\", _"
        $ = "\"EG\", \"v\", \"aF\", \"L\", \"i\", \"s\", \"qN\", \"KK\", _"
        $ = "\"Er\", \"rG\", \"Pn\", \"vW\", \"JJ\", \"h\", \"Kj\", \"Ah\", _"
        $ = "\"V\", \"oT\", \"l\", \"hn\", \"EE\", \"Hp\", \"jT\", \"r\", _"
        $ = "\"Zr\", \"wq\", \"V\", \"V\", \"a\", \"R\", \"S\", \"m\", _"
        $ = "\"co\", \"ol\", \"qw\", \"W\", \"K\", \"ZX\", \"V\", \"kM\", _"
        $ = "\"ip\", \"I\", \"Dk\", \"z\", \"I\", \"H\", \"Ko\", \"q\")"
        $ = "\"q\", \"Pk\", \"Bz\", \"w\", \"XT\", \"Sr\", \"B\", \"zu\", _"
        $ = "\"qz\", \"W\", \"O\", \"jB\", \"G\", \"m\", \"Wc\", \"c\", _"
        $ = "\"s\", \"mA\", \"Ql\", \"ln\", \"C\", \"wG\", \"l\", \"iu\", _"
        $ = "\"v\", \"W\", \"

Detection condition:
any of them

Full rule:
rule ClamAV_Emotet_String_Aggregate
{
    meta:
        Author      = "InQuest Labs"
        URL         = "https://github.com/InQuest/yara-rules"
        Description = "A pruned aggregate of all Emotet related strings extracted from ClamAV on 2019-07-03."

    strings:
        $ = "\"A\", \"w\", \"E\", \"C\", \"j\", \"d\", \"Fc\", \"I\", _"
        $ = "\"B\", \"P\", \"wW\", \"Z\", \"iw\", \"UH\", \"c\", \"F\")"
        $ = "\"DR\", \"i\", \"O\", \"w\", \"O\", \"W\", \"Ju\", \"l\", _"
        $ = "\"E\", \"vr\", \"d\", \"h\", \"z\", \"O\", \"k\", \"Fm\", _"
        $ = "\"EG\", \"v\", \"aF\", \"L\", \"i\", \"s\", \"qN\", \"KK\", _"
        $ = "\"Er\", \"rG\", \"Pn\", \"vW\", \"JJ\", \"h\", \"Kj\", \"Ah\", _"
        $ = "\"V\", \"oT\", \"l\", \"hn\", \"EE\", \"Hp\", \"jT\", \"r\", _"
        $ = "\"Zr\", \"wq\", \"V\", \"V\", \"a\", \"R\", \"S\", \"m\", _"
        $ = "\"co\", \"ol\", \"qw\", \"W\", \"K\", \"ZX\", \"V\", \"kM\", _"
        $ = "\"ip\", \"I\", \"Dk\", \"z\", \"I\", \"H\", \"Ko\", \"q\")"
        $ = "\"q\", \"Pk\", \"Bz\", \"w\", \"XT\", \"Sr\", \"B\", \"zu\", _"
        $ = "\"qz\", \"W\", \"O\", \"jB\", \"G\", \"m\", \"Wc\", \"c\", _"
        $ = "\"s\", \"mA\", \"Ql\", \"ln\", \"C\", \"wG\", \"l\", \"iu\", _"
        $ = "\"v\", \"W\", \"c\", \"nm\", \"R\", \"Za\", \"SH\", \"Y\", _"
        $ = "\"zZ\", \"n\", \"B\", \"Rd\", \"zb\", \"zw\", \"S\", \"To\")"
        $ = "BbLaumnc = Sqr(297301610 / CSng(84122969 - Cos(37521102 - 276382110) + jArhKK + Rnd(278702609 - 22664827)))"
        $ = "CjONpTOBY = NkdjH"
        $ = "EimOtQW = fkipfviwF"
        $ = "GPYKuJmPN = CDate(KROMo)"
        $ = "GSwdf = Hex(pZRQKYfG)"
        $ = "GbzcjjsOu = 57201732"
        $ = "GqMKodDv = CDate(GKtvO)"
        $ = "HkWVBQV = Oct(JiJAvfM)"
        $ = "HtAbZ = Int(161244399 * jTBFrt)"
        $ = "JaiAhE = CDate(283733543)"
        $ = "KbYRtc = CDate(PTGTls)"
        $ = "LfRjb = Sqr(305831286 / CSng(76527194 - Cos(189554916 - 4228452) + CVSjZwckw + Rnd(25519187