oalabs/findyara-idaPlugin Python IDA pour analyser un binaire avec des règles Yara
Utilisez ce plugin IDA Python pour analyser votre binaire avec des règles Yara. Toutes les correspondances de règles Yara seront listées avec leur décalage afin que vous puissiez y accéder rapidement !
🍻 Tout le mérite de ce plugin et de son code revient à David Berard (@p0ly) 🍻
Ce plugin est copié de l'excellent plugin findcrypt-yara de David. Ce plugin étend simplement le sien pour utiliser n'importe quelle règle Yara.
Le plugin peut être lancé depuis le menu via Edit->Plugins->FindYara ou avec la combinaison de touches Ctrl-Alt-Y. Une fois lancé, FindYara ouvrira une boîte de dialogue de sélection de fichier vous permettant de choisir votre fichier de règles Yara. Une fois le fichier de règles sélectionné, FindYara analysera le binaire chargé à la recherche de correspondances.
Toutes les correspondances de règles sont affichées dans une boîte de sélection qui vous permet de double-cliquer sur les correspondances et de sauter à leur emplacement dans le binaire.
FindYara analyse les sections PE chargées dans IDA, ce qui signifie que les règles Yara qui incluent des correspondances sur l'en-tête PE ne correspondront pas dans IDA. IDA ne charge pas l'en-tête PE en tant que section analysable. De plus, si vous n'avez pas sélectionné Charger les ressources lors du chargement de votre binaire dans IDA, la section des ressources sera indisponible pour l'analyse.
Cela peut conduire à des situations frustrantes où une règle Yara correspond en dehors d'IDA mais pas avec FindYara. Si vous rencontrez ce problème, essayez de modifier la règle Yara pour supprimer les correspondances sur l'en-tête PE et la section des ressources.
Avant d'utiliser le plugin, vous devez installer le module Python Yara dans votre environnement IDA. La manière la plus simple est d'utiliser pip depuis un terminal en dehors d'IDA.
pip install yara-python.
N'installez pas le module yara par erreur. Le module Python yara interférera avec votre module yara-python, il doit donc être désinstallé s'il a été installé par erreur.
Une fois le module Yara installé, copiez simplement la dernière version de findyara.py dans votre répertoire de plugins IDA et vous êtes prêt à analyser avec Yara !
FindYara a été développé pour être utilisé avec IDA 7+ et Python 3, il n'est pas rétrocompatible.
FindYara nécessite l'installation du module Python Yara version 4+. Les versions antérieures de Yara ne sont pas compatibles avec le plugin et peuvent causer des problèmes en raison de changements importants dans le format des correspondances Yara.
Un immense merci à David Berard (@p0ly) - Suivez-le sur GitHub ici ! C'est principalement son code et il reçoit tout le mérite pour la structure originale du plugin.
Merci également à Alex Hanel @nullandnull - Suivez-le sur GitHub ici. Alex m'a aidé à comprendre comment les méthodes IDC sont utilisées. Son livre IDA Python est une référence fantastique !!
