Copy as YARA

Author: alden

Kopiert Disassembly, schön formatiert für YARA-Regeln.

Beschreibung:

Dies ist ein wirklich einfaches Plugin, mit dem du Disassembly so kopieren kannst, dass sie in YARA-Regeln verwendet werden kann. Du hast die Möglichkeit, den Assembly-Code entweder so zu kopieren, wie er ist, oder Adress-Wildcards zu verwenden, um robustere Regeln zu erstellen.

Verwendung:

Um die gewünschte Disassembly zu kopieren, wähle sie unabhängig von der Ansicht aus. Navigiere anschließend zu Plugins > Copy for YARA > [Optionen]. Der resultierende formatierte Text wird dann automatisch in deine Zwischenablage kopiert.

Adress-Wildcards

Dieses Format versucht, mögliche Adress-Tokens mit Wildcards zu versehen, um Regeln robuster zu machen. Dabei werden zwei Strategien verwendet:

x86

49 8b 5e 08           // mov     rbx, qword [r14+0x8]
48 8d bd 48 ff ff ff  // lea     rdi, [rbp-0xb8 {var_c0}]
4c 89 fe              // mov     rsi, r15
4c 89 f2              // mov     rdx, r14
e8 ?? ?? ?? ??        // call    sub_1000ca056

ARM

f7 03 01 aa  // mov     x23, x1
e0 03 01 aa  // mov     x0, x1
ca ?? ?? ??  // bl      sub_100128728
f9 03 00 aa  // mov     x25, x0
f8 03 01 aa  // mov     x24, x1
9a ?? ?? ??  // bl      sub_1001bd674
f9 03 00 36  // tbz     w25, #0, 0x10012788c

Kompaktes Format

Dies kopiert einfach die Assembly-Bytes auf kompakte Weise ohne Kommentare, falls dir das gefällt.

49 8b 5e 08 48 8d bd 48 ff ff ff 4c 89 fe 4c 89 f2 e8 ff 0c 00 00

Normal

Kopiert alle Bytes mit Kommentaren, aber ohne Wildcards.

49 8b 5e 08           // mov     rbx, qword [r14+0x8]
48 8d bd 48 ff ff ff  // lea     rdi, [rbp-0xb8 {var_c0}]
4c 89 fe              // mov     rsi, r15
4c 89 f2              // mov     rdx, r14
e8 ff 0c 00 00        // call    sub_1000ca056

Vollständige Regel

Dies erzeugt eine schnelle, vollständige Regel, die du verwenden kannst. In Zukunft werden die Metadaten über Einstellungen anpassbar sein.

rule binary_ninja_export {
    meta:
        description = "Auto generated by Binary Ninja YARA plugin"
        architecture = "aarch64"

    strings:
        $bytes = { f7 03 01 aa e0 03 01 aa ca ?? ?? ?? f9 03 00 aa f8 03 01 aa 9a ?? ?? ?? f9 03 00 36 }

    condition:
        $bytes
}

Demo:

Lizenz

Dieses Plugin wird unter einer MIT-Lizenz veröffentlicht.