YAMA

Yet Another Memory Analyzer para detecção de malware

Conceito

YAMA é um sistema para geração de scanners que podem inspecionar malwares específicos durante a resposta a incidentes. O scanner gerado pelo YAMA foi projetado para explorar a memória do sistema operacional Windows e detectar malware. Com a crescente prevalência de malwares sem arquivo (fileless) que se implantam apenas na memória, o YAMA visa facilitar uma resposta rápida no tratamento de incidentes ao detectar esses malwares.

Recursos

• Gera um scanner que opera como um único binário
• Detecta malware usando regras YARA e informações de memória
• Cria binários de detecção de malware adaptados às necessidades de IR de cada usuário escrevendo regras YARA personalizadas
• Produz resultados de detecção em formato texto/JSON

Como o scanner funciona

O scanner YAMA opera como um aplicativo em modo de usuário do Windows, analisando os espaços de memória dos processos executados em modo de usuário, escaneando espaços de memória com atributos suspeitos usando YARA e identificando malware.

Primeiro, o YAMA analisa cada processo e extrai as seguintes informações:

• Informações do espaço de endereçamento do processo
• Estrutura PEB (Process Environment Block) do processo
• Estrutura TEB (Thread Environment Block) do processo
• Região de pilha (stack) do processo
• Região de heap do processo
• Informações de thread do processo
• Informações de mapeamento de arquivos para cada espaço de endereçamento virtual
• Informações de assinatura dos arquivos mapeados

Em seguida, o YAMA determina os espaços de memória a serem inspecionados com base nas informações analisadas. Isso é feito para selecionar apenas os espaços de memória necessários e evitar impactos de desempenho da busca em todo o espaço de memória.

Finalmente, o YAMA inspeciona os espaços de memória alvo usando regras YARA incorporadas na seção de recursos do binário.

Caso de uso

Ao combinar regras YARA disponíveis em plataformas como GitHub, é possível criar um scanner de memória que pode investigar vestígios de campanhas de ataque direcionadas específicas.

Por exemplo, construir um scanner YAMA usando a regra APT10 do JPCERTCC/jpcert-yara criaria uma ferramenta adequada para a caça a ameaças de malware APT10.

O JPCERTCC/jpcert-yara oferece inúmeras regras YARA compatíveis com várias campanhas de APT, como APT10, APT29, BlackTech e Lazarus, bem como regras para diferentes tipos de malware. É altamente recomendado para referência.

Como construir seu scanner YAMA personalizado

Consulte a Wiki.

Dependências

Este projeto depende do seguinte software de código aberto para funcionar corretamente:

• VirusTotal/yara - GitHub
• gabime/spdlog - GitHub
• nlohmann/json - GitHub
• p-ranav/argparse - GitHub

Agradecimentos e Inspirações

Gostaríamos de agradecer a estes repositórios do GitHub que inspiraram e influenciaram nosso projeto:

• volatilityfoundation/volatility3 - GitHub
• forrest-orr/moneta - GitHub