نبذة

ما هذا؟

مستودع يحتوي على بعض قواعد Yara التي طوّرتها بشكل خاص.

لماذا؟

للمساهمة في المجتمع.

هل يمكنني استخدام هذه القواعد؟

بالتأكيد! لهذا السبب أنشأت هذا المستودع.

يمكنك استخدامها في أنظمة الكشف لديك. على سبيل المثال، يستخدم CAPE sandbox وMalwareBazaar وUnPac.me وVirusTotal (يجب تسجيل الدخول، والتسجيل مجاني) وغيرها هذه القواعد. علاوة على ذلك، تعمل القواعد بشكل أصلي مع AssemblyLine نظرًا لاعتماد معيار CCCS لقواعد Yara.

جميع القواعد مصنفة TLP:CLEAR، لذا يمكنك استخدامها وتوزيعها بحرية. يُرجى الاحتفاظ بقسم meta.

المساعدة! قاعدة عامة تستهدف برمجياتي!

إذا أصابت إحدى القواعد في قسم القواعد generic برمجياتك، فهذه ليست نتيجة إيجابية خاطئة. إنها ببساطة حقيقة موضوعية أنه، على سبيل المثال، تم تجميع برمجياتك أو تغليفها باستخدام AutoIT. كما أنها لا تعني أن برمجياتك خبيثة.

لا تؤثر قواعد Yara المعروضة هنا بأي شكل من الأشكال على نتائج كشف برامج مكافحة الفيروسات. إذا تم اكتشاف برمجياتك بواسطة شركة مكافحة فيروسات أو مكافحة برمجيات خبيثة، فأنت بحاجة إلى التواصل معهم مباشرة.

لاحظ أن قسم meta يذكر أيضًا category = "INFO"، وفي هذه الحالة تكون القاعدة عامة أو إعلامية بحتة.

الإجراءات

هناك سيرانا عمل (workflows) يعملان على مستودع Github هذا:

• YARA-CI: يعمل تلقائيًا لكشف أخطاء التوقيعات، بالإضافة إلى النتائج الإيجابية الخاطئة والنتائج السلبية الخاطئة.
• Package Yara rules: يتيح تنزيل ملف قواعد كامل (جميع قواعد Yara من هذا المستودع في ملف واحد) للراحة من تبويب Actions > اختر آخر تشغيل لسير العمل > Artifacts. مرر لأسفل وستتمكن من التنزيل، ولكن يجب أن تكون مسجلاً الدخول إلى Github:

ما هو الحد الأدنى لإصدار Yara المطلوب؟

v3.3.0 هو الحد الأدنى المطلوب، حيث قد تتطلب بعض القواعد وحدة نمطية محددة. لاحظ أنه يُنصح دائمًا باستخدام أحدث إصدار من Yara كما هو موجود هنا. يعمل Yara 4.5.5، وهو على الأرجح آخر إصدار سيكون متاحًا، دون أي مشاكل.

هل تعمل القواعد مع YARA-X؟

Yara-X، وهو إعادة كتابة لـ Yara بلغة Rust، لا يواجه أي صعوبة في تشغيل القواعد الموجودة في هذا المستودع. في وقت كتابة هذا النص، يعمل YARA-X الإصدار v1.x وما فوق بشكل جيد مع القواعد المعروضة هنا.

ملاحظات؟

إذا لاحظت مشكلة أو تحسينًا في إحدى القواعد، فلا تتردد في إرسال PR أو فتح Issue.

إضافات

ما هي Yara؟

من مستودع Github الرسمي، https://github.com/VirusTotal/yara:

YARA هي أداة تهدف إلى (ولكنها لا تقتصر على) مساعدة باحثي البرمجيات الخبيثة في تحديد وتصنيف عينات البرمجيات الخبيثة.

مزيد من المعلومات: https://yara.readthedocs.io/en/stable/index.html

ما هو TLP؟

تم إنشاء بروتوكول إشارة المرور (TLP) لتسهيل تبادل أكبر للمعلومات.

القواعد في هذا المستودع مصنفة TLP:CLEAR (كان TLP:CLEAR يُعرف سابقًا باسم TLP:WHITE).

يمكن للمستلمين مشاركة هذه المعلومات دون قيود. تخضع المعلومات لقواعد حقوق النشر القياسية.

مزيد من المعلومات: https://www.us-cert.gov/tlp

أين يمكنني العثور على قواعد Yara أخرى مفتوحة المصدر؟

أنشأت InQuest مستودع Github يحتوي على قائمة منسقة من قواعد Yara: https://github.com/InQuest/awesome-yara.