YaraVM

Yara هي أداة لمطابقة الأنماط في الملفات، تُستخدم عادةً في تحليل البرامج الضارة. يمكن تجميع قواعد Yara إلى تنسيق ثنائي يمكن تحميله وتنفيذه لاحقًا. يحتوي هذا المستودع على وحدة معالج ومُحمّل لـ IDA Pro، مما يتيح لك تحميل وتحليل قواعد Yara المُجمَّعة.

التثبيت

لتثبيت YaraVM في IDA، اتبع الخطوات التالية:

1. انسخ ملف yara_loader.py إلى مجلد loaders الخاص بـ IDA.
2. انسخ ملف yara_proc.py إلى مجلد proc الخاص بـ IDA.
3. انسخ ملف libyara.til إلى مجلد til الخاص بـ IDA.
4. الآن يمكنك فتح قواعد yara المُجمَّعة في IDA.

لسهولة الاستخدام، يمكنك استخدام الأوامر التالية لإنشاء الروابط الرمزية اللازمة:

mkdir -p ~/.idapro/loaders
mkdir -p ~/.idapro/procs
mkdir -p ~/.idapro/til

ln -s $PWD/src/yara_loader.py ~/.idapro/loaders/yara_loader.py
ln -s $PWD/src/yara_proc.py ~/.idapro/procs/yara_proc.py
ln -s $PWD/src/libyara.til ~/.idapro/til/libyara.til

عرض توضيحي

يمكنك تحميل الملف test.yar.bin في IDA Pro لرؤية كود Yara الثنائي وكود التعبير النمطي الثنائي.