YaraVM

Yara — это инструмент для поиска шаблонов в файлах, обычно используемый для анализа вредоносного ПО. Правила Yara могут быть скомпилированы в бинарный формат, который впоследствии можно загрузить и выполнить. Этот репозиторий содержит модуль процессора и загрузчик для IDA Pro, позволяющие загружать и анализировать скомпилированные правила Yara.

Установка

Чтобы установить YaraVM в IDA, выполните следующие действия:

1. Скопируйте файл yara_loader.py в папку loaders IDA.
2. Скопируйте файл yara_proc.py в папку proc IDA.
3. Скопируйте файл libyara.til в папку til IDA.
4. Теперь вы можете открыть скомпилированные правила Yara в IDA.

Для удобства можно использовать следующие команды для создания необходимых символических ссылок:

mkdir -p ~/.idapro/loaders
mkdir -p ~/.idapro/procs
mkdir -p ~/.idapro/til

ln -s $PWD/src/yara_loader.py ~/.idapro/loaders/yara_loader.py
ln -s $PWD/src/yara_proc.py ~/.idapro/procs/yara_proc.py
ln -s $PWD/src/libyara.til ~/.idapro/til/libyara.til

Демонстрация

Вы можете загрузить файл test.yar.bin в IDA Pro, чтобы увидеть байт-код Yara и байт-код регулярных выражений.