YaraVM

Yara è uno strumento per il riconoscimento di pattern nei file, comunemente utilizzato per l'analisi malware. Le regole Yara possono essere compilate in un formato binario che può essere successivamente caricato ed eseguito. Questo repository contiene un modulo processore e un loader per IDA Pro, che ti permettono di caricare e analizzare regole Yara compilate.

Installazione

Per installare YaraVM in IDA, segui questi passaggi:

1. Copia il file yara_loader.py nella cartella loaders di IDA.
2. Copia il file yara_proc.py nella cartella proc di IDA.
3. Copia il file libyara.til nella cartella til di IDA.
4. Ora puoi aprire le regole Yara compilate in IDA.

Per comodità, puoi usare i seguenti comandi per creare i symlink necessari:

mkdir -p ~/.idapro/loaders
mkdir -p ~/.idapro/procs
mkdir -p ~/.idapro/til

ln -s $PWD/src/yara_loader.py ~/.idapro/loaders/yara_loader.py
ln -s $PWD/src/yara_proc.py ~/.idapro/procs/yara_proc.py
ln -s $PWD/src/libyara.til ~/.idapro/til/libyara.til

Dimostrazione

Puoi caricare il file test.yar.bin in IDA Pro per vedere il bytecode Yara e il bytecode delle espressioni regolari.