yara v4.5.8 — The pattern matching swiss knife

[!IMPORTANT] Questo progetto è in modalità manutenzione. Maggiori informazioni: https://virustotal.github.io/yara-x/blog/yara-x-is-stable/

YARA in sintesi

YARA è uno strumento pensato (ma non limitato) per aiutare i ricercatori di malware a identificare e classificare campioni di malware. Con YARA puoi creare descrizioni di famiglie di malware (o qualsiasi cosa tu voglia descrivere) basate su pattern testuali o binari. Ogni descrizione, nota anche come regola, consiste in un insieme di stringhe e un'espressione booleana che ne determina la logica. Vediamo un esempio:

rule silent_banker : banker
{
    meta:
        description = "This is just an example"
        threat_level = 3
        in_the_wild = true

    strings:
        $a = {6A 40 68 00 30 00 00 6A 14 8D 91}
        $b = {8D 4D B0 2B C1 83 C0 27 99 6A 4E 59 F7 F9}
        $c = "UVODFRYSIHLNWPEJXQZAKCBGMT"

    condition:
        $a or $b or $c
}

La regola sopra dice a YARA che qualsiasi file contenente una delle tre stringhe deve essere segnalato come silent_banker. Questo è solo un semplice esempio; regole più complesse e potenti possono essere create utilizzando wildcard, stringhe case-insensitive, espressioni regolari, operatori speciali e molte altre funzionalità che troverai spiegate nella documentazione di YARA.

YARA è multipiattaforma, funzionante su Windows, Linux e Mac OS X, e può essere utilizzato tramite la sua interfaccia a riga di comando o dai tuoi script Python con l'estensione yara-python.

Risorse aggiuntive

Usi GitHub per archiviare le tue regole YARA? YARA-CI potrebbe essere un'utile aggiunta al tuo arsenale. Questa è un'applicazione GitHub che fornisce test continui per le tue regole, aiutandoti a identificare errori comuni e falsi positivi.

Se intendi utilizzare YARA per scansionare file compressi (.zip, .tar, ecc.) dovresti dare un'occhiata a yextend, un'estensione molto utile per YARA sviluppata e resa open source da Bayshore Networks.

Inoltre, i ragazzi di InQuest hanno curato un'ottima lista di cose relative a YARA.

Chi usa YARA

Lo stai usando? Vuoi vedere il tuo sito elencato qui?