abusech/yaraifyOpen YARA scan- and search engine
YARAifyは、オープンなYARAスキャン・検索エンジンです。このリポジトリには、YARAify APIと連携するためのサンプルのPython3スクリプトがいくつか用意されています。
YARA APIにクエリを実行するには、Auth-Keyを取得する必要があります。まだAuth-Keyをお持ちでない場合は、https://auth.abuse.ch/で無料で取得できます。
このスクリプトは、スキャンエンドポイントを呼び出して、YARAifyサービスを使用してファイルをスキャンします。
python3 yaraify_submit.py <path-to-file>
プロのヒント: YARAスキャンエンジンを使い始める前に、提出内容をカスタマイズするために使用できるさまざまなパラメータを確認することをお勧めします:
https://yaraify.abuse.ch/api/#file-scan
このスクリプトは、ハッシュ検索エンドポイントを呼び出して、YARAifyデータベース内のハッシュ (MD5、SHA256、SHA1、SHA3-384ハッシュ) を検索します:
python3 yaraify_lookup_hash.py 97e8b8205a9be4ddbed90d7c354a58aab170c15e458564baee9f50e17ca79649
このスクリプトは、YARA検索エンドポイントを呼び出して、特定のYARAルールに一致する最近のファイルを取得します。
python3 yaraify_lookup_yara-rule.py CobaltStrikeBeacon 50
このスクリプトは、タスクIDエンドポイントを呼び出して、YARAifyデータベース内の特定のタスクIDを検索します:
python3 yaraify_check_taskid.py cfa49f83-6d98-11ed-a71a-42010aa4000b
YARAifyでは、アカウント登録などを必要とせずにYARAスキャンを追跡する簡単な方法として、識別子を提供しています。識別子を使用して提出内容を追跡し始める前に、対応するドキュメントを確認することをお勧めします:
https://yaraify.abuse.ch/api/#identifiers
独自の (プライベートな) 識別子を作成し、YARAifyのYARAスキャンエンジンにファイルを提出したら、このスクリプトを使用して最近のタスクの一覧を取得できます。例えば、識別子に関連付けられたキュー済みタスクの一覧を取得したい場合は、次のようにスクリプトを使用できます:
python3 yaraify_list_tasks.py <identifier> queued
このスクリプトは、ファイル再スキャンエンドポイントを呼び出して、ファイルの即時再スキャンをトリガーします。
python3 yaraify_rescan.py <hash>
このスクリプトは、YARAルールのデプロイエンドポイントを呼び出して、独自のルールを使用してYARAifyでライブハンティングを実施します。
python3 upload_yara_rule.py <YOUR-AUTH-KEY> <yara-rule-file>
YARAify APIのドキュメントは以下から入手できます: