milankovo/yaravm이 저장소에는 컴파일된 야라 규칙을 로드 및 디스어셈블하기 위한 IDA 프로세서가 포함되어 있습니다.
Yara는 파일에서 패턴을 매칭하는 도구로, 주로 악성코드 분석에 사용됩니다. Yara 규칙은 바이너리 형식으로 컴파일되어 나중에 로드 및 실행될 수 있습니다. 이 저장소는 IDA Pro용 프로세서 모듈과 로더를 포함하고 있어, 컴파일된 Yara 규칙을 로드하고 분석할 수 있습니다.
IDA에 YaraVM을 설치하려면 다음 단계를 따르세요:
yara_loader.py 파일을 IDA loaders 폴더에 복사합니다.yara_proc.py 파일을 IDA proc 폴더에 복사합니다.libyara.til 파일을 IDA til 폴더에 복사합니다.편의를 위해 다음 명령어를 사용하여 필요한 심볼릭 링크를 생성할 수 있습니다:
mkdir -p ~/.idapro/loaders
mkdir -p ~/.idapro/procs
mkdir -p ~/.idapro/til
ln -s $PWD/src/yara_loader.py ~/.idapro/loaders/yara_loader.py
ln -s $PWD/src/yara_proc.py ~/.idapro/procs/yara_proc.py
ln -s $PWD/src/libyara.til ~/.idapro/til/libyara.til
test.yar.bin 파일을 IDA Pro에 로드하여 Yara 바이트코드와 regex 바이트코드를 확인할 수 있습니다.
