yara-x

YARA-X

YARA-X é uma reencarnação do YARA, uma ferramenta de correspondência de padrões projetada pensando em pesquisadores de malware. Esta nova encarnação pretende ser mais rápida, mais segura e mais fácil de usar do que sua antecessora. O objetivo final do YARA-X é substituir o YARA como a ferramenta padrão de correspondência de padrões para pesquisadores de malware.

Com o YARA-X, você pode criar descrições de famílias de malware (ou o que quiser descrever) com base em padrões textuais ou binários. Cada descrição (também conhecida como regra) consiste em um conjunto de padrões e uma expressão booleana que determinam sua lógica. Vamos ver um exemplo:

rule silent_banker : banker {
    meta:
        description = "This is just an example"
        threat_level = 3
        in_the_wild = true

    strings:
        $a = {6A 40 68 00 30 00 00 6A 14 8D 91}
        $b = {8D 4D B0 2B C1 83 C0 27 99 6A 4E 59 F7 F9}
        $c = "UVODFRYSIHLNWPEJXQZAKCBGMT"

    condition:
        $a or $b or $c
}

A regra acima está dizendo ao YARA-X que qualquer arquivo contendo um dos três padrões deve ser reportado como silent_banker. Este é apenas um exemplo simples; regras mais complexas e poderosas podem ser criadas usando curingas, strings sem distinção entre maiúsculas e minúsculas, expressões regulares, operadores especiais e muitos outros recursos que você encontrará explicados na documentação.

FAQ

Como o YARA-X se compara ao YARA?

Leia isto.

Quais são as diferenças no nível das regras?

Leia isto.

O YARA ainda é mantido?

Sim, é. O YARA ainda está sendo mantido, e futuros lançamentos incluirão correções de bugs e pequenos recursos. No entanto, não espere novos grandes recursos ou módulos. Todos os esforços para aprimorar o YARA, incluindo a adição de novos módulos, agora se concentrarão no YARA-X.

Qual é o estado atual do YARA-X?

O YARA-X já é maduro e estável. Na VirusTotal, temos executado o YARA-X em produção há muito tempo, escaneando bilhões de arquivos com dezenas de milhares de regras e identificando e corrigindo discrepâncias e bugs. Isso significa que o YARA-X já foi posto à prova.

Por favor, teste o YARA-X e não hesite em abrir uma issue se você encontrar um bug ou algum recurso que queira ver implementado.

Contribuindo

Contribuições para o YARA-X são bem-vindas! Para detalhes sobre o requisito do Contrato de Licença de Contribuidor (CLA) do Google, convenções de estilo de código e como enviar pull requests, leia o CONTRIBUTING.md.