ald3ns/copy-as-yaraCeci est un petit plugin pour copier le désassemblage d'une manière utilisable dans les règles YARA !
Auteur : alden
Copiez le désassemblage joliment formaté pour les règles YARA.
C'est un plugin très simple qui vous permet de copier du désassemblage d'une manière utilisable dans les règles YARA. Vous avez le choix de copier le code assembleur tel quel ou d'utiliser des jokers d'adresse pour créer des règles plus robustes.
Pour copier le désassemblage souhaité, sélectionnez-le quel que soit l'affichage. Ensuite, naviguez vers Plugins > Copy for YARA > [Options]. Le texte formaté résultant sera alors automatiquement copié dans votre presse-papiers.
Ce format tentera de mettre des jokers sur les éventuels tokens d'adresse afin de rendre les règles plus robustes. Il utilise deux stratégies pour y parvenir :
x86
49 8b 5e 08 // mov rbx, qword [r14+0x8]
48 8d bd 48 ff ff ff // lea rdi, [rbp-0xb8 {var_c0}]
4c 89 fe // mov rsi, r15
4c 89 f2 // mov rdx, r14
e8 ?? ?? ?? ?? // call sub_1000ca056
ARM
f7 03 01 aa // mov x23, x1
e0 03 01 aa // mov x0, x1
ca ?? ?? ?? // bl sub_100128728
f9 03 00 aa // mov x25, x0
f8 03 01 aa // mov x24, x1
9a ?? ?? ?? // bl sub_1001bd674
f9 03 00 36 // tbz w25, #0, 0x10012788c
Ce format copie simplement les octets de l'assembleur de manière compacte, sans commentaires, si c'est ce que vous préférez.
49 8b 5e 08 48 8d bd 48 ff ff ff 4c 89 fe 4c 89 f2 e8 ff 0c 00 00
Copie tous les octets avec les commentaires mais sans jokers.
49 8b 5e 08 // mov rbx, qword [r14+0x8]
48 8d bd 48 ff ff ff // lea rdi, [rbp-0xb8 {var_c0}]
4c 89 fe // mov rsi, r15
4c 89 f2 // mov rdx, r14
e8 ff 0c 00 00 // call sub_1000ca056
Ceci génère une règle complète et rapide que vous pouvez utiliser ; à l'avenir, les métadonnées seront personnalisables via les paramètres.
rule binary_ninja_export {
meta:
description = "Auto generated by Binary Ninja YARA plugin"
architecture = "aarch64"
strings:
$bytes = { f7 03 01 aa e0 03 01 aa ca ?? ?? ?? f9 03 00 aa f8 03 01 aa 9a ?? ?? ?? f9 03 00 36 }
condition:
$bytes
}
Ce plugin est publié sous une licence MIT.