YAMA

Otro analizador de memoria más para la detección de malware

Concepto

YAMA es un sistema para generar escáneres que pueden inspeccionar malware específico durante la respuesta a incidentes. El escáner generado por YAMA está diseñado para explorar la memoria del sistema operativo Windows y detectar malware. Con la creciente prevalencia de malware sin archivos que se despliega solo en memoria, YAMA tiene como objetivo facilitar una respuesta rápida en el manejo de incidentes mediante la detección de dicho malware.

Características

• Generar un escáner que funcione como un solo binario
• Detecta malware utilizando reglas YARA e información de memoria
• Crea binarios de detección de malware adaptados a las necesidades de IR de cada usuario mediante la escritura de reglas YARA personalizadas
• Genera resultados de detección en formato texto/JSON

Cómo funciona el escáner

El escáner YAMA funciona como una aplicación de modo de usuario de Windows, analizando los espacios de memoria de los procesos que se ejecutan en modo usuario, escaneando espacios de memoria con atributos sospechosos utilizando YARA e identificando malware.

Primero, YAMA analiza cada proceso y extrae la siguiente información:

• Información del espacio de direcciones del proceso
• Estructura del PEB (Process Environment Block) del proceso
• Estructura del TEB (Thread Environment Block) del proceso
• Región de pila del proceso
• Región de montón del proceso
• Información del hilo del proceso
• Información de mapeo de archivos para cada espacio de direcciones virtuales
• Información de firma de los archivos mapeados

A continuación, YAMA determina los espacios de memoria que se inspeccionarán basándose en la información analizada. Esto se hace para seleccionar solo los espacios de memoria necesarios y evitar impactos en el rendimiento al buscar en todo el espacio de memoria.

Finalmente, YAMA inspecciona los espacios de memoria objetivo utilizando reglas YARA incrustadas en la sección de recursos del binario.

Caso de uso

Al combinar reglas YARA disponibles en plataformas como GitHub, es posible crear un escáner de memoria que pueda investigar rastros de campañas de ataque dirigidas específicas.

Por ejemplo, construir un escáner YAMA utilizando la regla APT10 de JPCERTCC/jpcert-yara crearía una herramienta adecuada para la caza de amenazas del malware APT10.

JPCERTCC/jpcert-yara ofrece numerosas reglas YARA compatibles con varias campañas APT como APT10, APT29, BlackTech y Lazarus, así como reglas para diferentes tipos de malware. Es altamente recomendado como referencia.

Cómo construir tu escáner YAMA personalizado

Consulte la Wiki.

Dependencias

Este proyecto depende del siguiente software de código abierto para funcionar correctamente:

• VirusTotal/yara - GitHub
• gabime/spdlog - GitHub
• nlohmann/json - GitHub
• p-ranav/argparse - GitHub

Agradecimientos e Inspiraciones

Nos gustaría agradecer a estos repositorios de GitHub que inspiraron e influyeron en nuestro proyecto:

• volatilityfoundation/volatility3 - GitHub
• forrest-orr/moneta - GitHub