Merge pull request #2441 from SigmaHQ/rule-devel

Log4Shell - more patterns

rules/web/web_cve_2021_44228_log4j.yml

@@ -34,6 +34,8 @@ detection:
         - '${jndi:nds'
         - '${jndi:corba'
         - '${jndi:iiop'
+        - '${${env:BARFOO:-j}'
+        - '${::-l}${::-d}${::-a}${::-p}'
     condition: keywords
 falsepositives:
     - Vulnerability scanning

rules/web/web_cve_2021_44228_log4j_fields.yml

@@ -35,6 +35,8 @@ detection:
          - '${jndi:nds'
          - '${jndi:corba'
          - '${jndi:iiop'
+         - '${${env:BARFOO:-j}'
+         - '${::-l}${::-d}${::-a}${::-p}'
       user-agent|contains:
          - '${jndi:ldap:/'
          - '${jndi:rmi:/'
@@ -51,6 +53,8 @@ detection:
          - '${jndi:nds'
          - '${jndi:corba'
          - '${jndi:iiop'
+         - '${${env:BARFOO:-j}'
+         - '${::-l}${::-d}${::-a}${::-p}'
       cs-uri|contains:
          - '${jndi:ldap:/'
          - '${jndi:rmi:/'
@@ -67,6 +71,8 @@ detection:
          - '${jndi:nds'
          - '${jndi:corba'
          - '${jndi:iiop'
+         - '${${env:BARFOO:-j}'
+         - '${::-l}${::-d}${::-a}${::-p}'
       cs-referrer|contains:
          - '${jndi:ldap:/'
          - '${jndi:rmi:/'
@@ -83,6 +89,8 @@ detection:
          - '${jndi:nds'
          - '${jndi:corba'
          - '${jndi:iiop'
+         - '${${env:BARFOO:-j}'
+         - '${::-l}${::-d}${::-a}${::-p}'
    condition: selection
 falsepositives:
     - Vulnerability scanning