Introduzione

Pubblicato come open source da NCC Group Plc - http://www.nccgroup.com/

Sviluppato da David Cannings (@edeca) [email protected]

http://www.github.com/nccgroup/yaml2yara

Questo progetto è rilasciato sotto licenza AGPL. Si prega di consultare LICENSE per maggiori informazioni.

Panoramica

Questa repository contiene uno script che crea regole di rilevamento personalizzate a partire da input YAML.

Viene utilizzato per generare automaticamente la stessa regola per più elementi di dati di input, ad esempio:

• Regole per rilevare certificati di firma del codice rubati.
• Regole per rilevare componenti OLE vulnerabili noti nei documenti di exploit.
• Regole per rilevare risorse dannose note (icone, finestre di dialogo, ecc.).

Questo disaccoppia la logica delle regole dai dati da confrontare, consentendo di aggiornare facilmente regole in blocco per ottimizzarle o sfruttare nuove funzionalità di YARA.

Inizialmente è stato progettato per generare regole Yara. Tuttavia, può essere facilmente esteso ad altri formati (MAEC, regole Suricata) con nuovi template.

Obiettivi

Gli obiettivi sono:

• Memorizzare dati utili in un formato leggibile dall'uomo.
• Generare regole con il minimo sforzo.
• Produrre un output che possa essere inserito nel proprio strumento di gestione del codice sorgente preferito (Git, Mercurial, ecc.).

Dipendenze

Tutte le dipendenze richieste possono essere installate usando pip:

 pip install -r Requirements.txt

Utilizzo

Nella repository sono inclusi alcuni file di dati di esempio e template. Esempio di utilizzo:

./generate.py --template authenticode --input sample_data/authenticode/stolen_certs.yaml
./generate.py --template office_exploits --input sample_data/office_exploits/ole.yaml
./generate.py --template resources --input sample_data/resources/malware.yaml

L'output può anche essere modificato con --tag, che aggiungerà tag di regola a ciascuna regola generata:

./generate.py --template authenticode --tag authenticode --input sample_data/authenticode/stolen_certs.yaml

È disponibile anche un'opzione --prefix, che assegnerà un nome a tutte le regole:

./generate.py --template office_exploits --prefix exploit --input sample_data/office_exploits/ole.yaml

È disponibile la guida, vedere ./generate.py --help.