概要

これは何？

個人的に開発したYaraルールの一部をまとめたリポジトリです。

なぜ？

コミュニティに貢献するためです。

これらのルールを使用できますか？

もちろんです！そのためにこのリポジトリを作りました。

これらのルールは、あなたの検知システムで使用できます。例えば、CAPE sandbox、MalwareBazaar、UnPac.me、VirusTotal（ログインが必要です。登録は無料です）などがこれらのルールを利用しています。さらに、このルール群はCCCS Yaraルール標準を採用しているため、AssemblyLineとネイティブに連携できます。

すべてのルールはTLP:CLEARですので、自由に使用・配布できます。meta情報は保持してください。

助けて！ジェネリックルールが自分のソフトウェアにヒットします！

genericルールセクションのルールがあなたのソフトウェアにヒットした場合、それは誤検知ではありません。それは単に、例えばあなたのソフトウェアがAutoITでコンパイルまたはラップされているという客観的な事実です。同様に、それはあなたのソフトウェアが悪意があるという意味ではありません。

ここで紹介するYaraルールは、アンチウイルスの検出結果にいかなる形でも影響を与えません。あなたのソフトウェアがアンチウイルスやアンチマルウェア企業に検出された場合、直接その企業に連絡する必要があります。

なお、metaセクションにcategory = "INFO"と記載されている場合もあります。その場合、それは純粋にジェネリックまたは情報提供用のルールです。

アクション

このGithubリポジトリでは2つのワークフローが実行されています：

• YARA-CI: 自動的に実行され、シグネチャエラー、誤検知、見逃し（false negatives）を検出します。
• Package Yara rules: 利便性のため、完全なルールファイル（このリポジトリの全Yaraルールを1つのファイルにまとめたもの）をダウンロードできます。Actionsタブ > 最新のワークフロー実行を選択 > Artifacts から入手できます。下にスクロールするとダウンロードできますが、Githubにログインしている必要があります：

必要なYaraの最小バージョンは？

一部のルールは特定のモジュールを必要とする場合があるため、最低でもv3.3.0が必要です。常にこちらにある最新のYaraバージョンを使用することをお勧めします。おそらく最後のリリースとなるYara 4.5.5も問題なく動作します。

ルールはYARA-Xで動作しますか？

YaraをRustで書き直したYara-Xは、このリポジトリのルールを問題なく実行できます。執筆時点では、YARA-X v1.x以降はここで紹介するルールで正常に動作します。

フィードバック？

ルールに関する問題や改善点を見つけた場合は、PRを送信するかIssueを開いてください。

その他

Yaraとは？

公式Githubリポジトリ（https://github.com/VirusTotal/yara）より：

YARAは、マルウェア研究者がマルウェアサンプルを識別・分類することを支援することを目的とした（ただしこれに限定されない）ツールです。

詳細情報： https://yara.readthedocs.io/en/stable/index.html

TLPとは？

交通信号プロトコル（TLP）は、情報の共有をより円滑にするために作られました。

このリポジトリのルールはTLP:CLEARです（TLP:CLEARは以前TLP:WHITEとして知られていました）。

受信者はこの情報を制限なく共有できます。情報は標準的な著作権規則の対象となります。

詳細情報： https://www.us-cert.gov/tlp

他のオープンソースのYaraルールはどこで見つけられますか？

InQuestは、厳選されたYaraルールのリストを含むGithubリポジトリを作成しました： https://github.com/InQuest/awesome-yara。