yaraQA

Analizador de reglas YARA para mejorar la calidad y el rendimiento de las reglas

¿Por qué?

Las reglas YARA pueden ser sintácticamente correctas pero aún así disfuncionales. yaraQA intenta encontrar e informar estos problemas al autor o mantenedor de un conjunto de reglas YARA.

Los problemas que yaraQA intenta detectar son, por ejemplo:

• reglas que son sintácticamente correctas pero nunca coinciden debido a errores en la condición (ej. regla con una cadena y 2 of them en la condición)
• reglas que usan combinaciones de cadenas y modificadores probablemente incorrectas (ej. $ = "\\Debug\\" fullword)
• problemas de rendimiento causados por átomos cortos, caracteres repetitivos o bucles (ej. $ = "AA"; se pueden excluir del análisis usando --ignore-performance)

Voy a ampliar el conjunto de pruebas con el tiempo. Cada versión menor incluirá nuevas características o nuevas pruebas.

Requisitos de instalación

pip install -r requirements.txt

Uso

usage: yaraQA.py [-h] [-f yara files [yara files ...]] [-d yara files [yara files ...]] [-o outfile] [-b baseline] [-l level]
                 [--ignore-performance] [--debug]

YARA RULE ANALYZER

optional arguments:
  -h, --help            show this help message and exit
  -f yara files [yara files ...]
                        Path to input files (one or more YARA rules, separated by space)
  -d yara files [yara files ...]
                        Path to input directory (YARA rules folders, separated by space)
  -o outfile            Output file that lists the issues (JSON, default: 'yaraQA-issues.json') 
  -b baseline           Use a issues baseline (issues found and reviewed before) to filter issues
  -l level              Minium level to show (1=informational, 2=warning, 3=critical)
  --ignore-performance  Suppress performance-related rule issues
  --debug               Debug output

Pruébalo

python3 yaraQA.py -d ./test/

Suprime todos los problemas de rendimiento y solo muestra problemas de detección/lógica.

python3 yaraQA.py -d ./test/ --ignore-performance

Suprime todos los problemas de carácter informativo.

python3 yaraQA.py -d ./test/ -level 2

Usa una línea base para ver solo los problemas nuevos (no los que ya has revisado). El archivo de línea base es una salida JSON antigua de un estado revisado.

python3 yaraQA.py -d ./test/ -b yaraQA-reviewed-issues.json

Reglas de ejemplo con problemas

Las reglas de ejemplo con problemas se pueden encontrar en la carpeta ./test.

Salida

yaraQA escribe los problemas detectados en un archivo llamado yaraQA-issues.json por defecto.

Esta lista muestra un ejemplo de la salida generada por yaraQA en formato JSON: