Блог о разработке модулей YARA и извлечении конфигураций

Обзор

Этот репозиторий содержит исходный код и материалы для моего поста в блоге о разработке модулей YARA и извлечении конфигураций. В этом блоге представлено моё руководство по процессу создания модуля YARA, предназначенного для извлечения конфигураций.

Содержимое блога

https://devilinside.me/blogs/configuration-extraction-yara

• Введение: Обзор мотивации, стоящей за разработкой модуля YARA для извлечения конфигураций.
• Ситуация: Обсуждение ограничений использования правил YARA без специализированных модулей для эффективного извлечения конфигураций.
• Модули YARA: Исследование концепции модулей YARA и их роли в расширении возможностей YARA.
• Написание модуля YARA: Предоставление информации о структурах, функциях и шагах, связанных с написанием модуля YARA на C.
• Действие: Демонстрация модуля YARA под названием parseutils в действии на практическом примере, связанном с извлечением конфигурации Danabot.
• Заключение: Размышления о гибкости YARA и достижении извлечения ценной информации за пределами её основного использования для обнаружения вредоносных программ.
• Использование и ресурсы: Инструкции по запуску включённого скрипта build.sh для компиляции модуля YARA и дополнительных правил YARA для извлечения конфигураций.

Как со мной связаться

Не стесняйтесь обращаться для обсуждений или вопросов через Twitter @_theatha.