virustotal/yara-xUma reescrita do YARA em Rust.
YARA-X é uma reencarnação do YARA, uma ferramenta de correspondência de padrões projetada pensando em pesquisadores de malware. Esta nova encarnação pretende ser mais rápida, mais segura e mais fácil de usar do que sua antecessora. O objetivo final do YARA-X é substituir o YARA como a ferramenta padrão de correspondência de padrões para pesquisadores de malware.
Com o YARA-X, você pode criar descrições de famílias de malware (ou o que quiser descrever) com base em padrões textuais ou binários. Cada descrição (também conhecida como regra) consiste em um conjunto de padrões e uma expressão booleana que determinam sua lógica. Vamos ver um exemplo:
rule silent_banker : banker {
meta:
description = "This is just an example"
threat_level = 3
in_the_wild = true
strings:
$a = {6A 40 68 00 30 00 00 6A 14 8D 91}
$b = {8D 4D B0 2B C1 83 C0 27 99 6A 4E 59 F7 F9}
$c = "UVODFRYSIHLNWPEJXQZAKCBGMT"
condition:
$a or $b or $c
}
A regra acima está dizendo ao YARA-X que qualquer arquivo contendo um dos três
padrões deve ser reportado como silent_banker. Este é apenas um exemplo
simples; regras mais complexas e poderosas podem ser criadas usando curingas,
strings sem distinção entre maiúsculas e minúsculas, expressões regulares,
operadores especiais e muitos outros recursos que você encontrará explicados
na documentação.
Leia isto.
Leia isto.
Sim, é. O YARA ainda está sendo mantido, e futuros lançamentos incluirão correções de bugs e pequenos recursos. No entanto, não espere novos grandes recursos ou módulos. Todos os esforços para aprimorar o YARA, incluindo a adição de novos módulos, agora se concentrarão no YARA-X.
O YARA-X já é maduro e estável. Na VirusTotal, temos executado o YARA-X em produção há muito tempo, escaneando bilhões de arquivos com dezenas de milhares de regras e identificando e corrigindo discrepâncias e bugs. Isso significa que o YARA-X já foi posto à prova.
Por favor, teste o YARA-X e não hesite em abrir uma issue se você encontrar um bug ou algum recurso que queira ver implementado.
Contribuições para o YARA-X são bem-vindas! Para detalhes sobre o requisito do Contrato de Licença de Contribuidor (CLA) do Google, convenções de estilo de código e como enviar pull requests, leia o CONTRIBUTING.md.