YaraVM

Yara est un outil pour la correspondance de motifs dans les fichiers, couramment utilisé pour l'analyse de logiciels malveillants. Les règles Yara peuvent être compilées dans un format binaire qui peut ensuite être chargé et exécuté. Ce dépôt contient un module processeur et un chargeur pour IDA Pro, vous permettant de charger et d'analyser les règles Yara compilées.

Installation

Pour installer YaraVM dans IDA, suivez ces étapes :

1. Copiez le fichier yara_loader.py dans le dossier loaders d'IDA.
2. Copiez le fichier yara_proc.py dans le dossier proc d'IDA.
3. Copiez le fichier libyara.til dans le dossier til d'IDA.
4. Vous pouvez maintenant ouvrir les règles Yara compilées dans IDA.

Pour plus de commodité, vous pouvez utiliser les commandes suivantes pour créer les liens symboliques nécessaires :

mkdir -p ~/.idapro/loaders
mkdir -p ~/.idapro/procs
mkdir -p ~/.idapro/til

ln -s $PWD/src/yara_loader.py ~/.idapro/loaders/yara_loader.py
ln -s $PWD/src/yara_proc.py ~/.idapro/procs/yara_proc.py
ln -s $PWD/src/libyara.til ~/.idapro/til/libyara.til

Démonstration

Vous pouvez charger le fichier test.yar.bin dans IDA Pro pour voir le bytecode Yara et le bytecode regex.