yara-x

YARA-X

YARA-X — это новое воплощение YARA, инструмента сопоставления с образцами, созданного с учётом потребностей исследователей вредоносного ПО. Это новое воплощение задумано как более быстрое, безопасное и удобное в использовании, чем его предшественник. Конечная цель YARA-X — заменить YARA в качестве инструмента сопоставления с образцами по умолчанию для исследователей вредоносного ПО.

С помощью YARA-X вы можете создавать описания семейств вредоносного ПО (или чего угодно, что захотите описать) на основе текстовых или бинарных образцов. Каждое описание (так называемое правило) состоит из набора образцов и логического выражения, определяющего его логику. Рассмотрим пример:

rule silent_banker : banker {
    meta:
        description = "This is just an example"
        threat_level = 3
        in_the_wild = true

    strings:
        $a = {6A 40 68 00 30 00 00 6A 14 8D 91}
        $b = {8D 4D B0 2B C1 83 C0 27 99 6A 4E 59 F7 F9}
        $c = "UVODFRYSIHLNWPEJXQZAKCBGMT"

    condition:
        $a or $b or $c
}

Приведённое выше правило сообщает YARA-X, что любой файл, содержащий один из трёх образцов, должен быть помечен как silent_banker. Это лишь простой пример; более сложные и мощные правила можно создавать с помощью подстановочных знаков, строк без учёта регистра, регулярных выражений, специальных операторов и многих других возможностей, которые вы найдёте в документации.

Часто задаваемые вопросы

Чем YARA-X отличается от YARA?

Читайте здесь.

В чём различия на уровне правил?

Читайте здесь.

Поддерживается ли YARA по-прежнему?

Да, поддерживается. YARA по-прежнему развивается, и будущие выпуски будут включать исправления ошибок и незначительные функции. Однако не стоит ожидать новых крупных функций или модулей. Все усилия по улучшению YARA, включая добавление новых модулей, теперь будут сосредоточены на YARA-X.

Каково текущее состояние YARA-X?

YARA-X уже зрелый и стабильный. В VirusTotal мы долгое время используем YARA-X в производственной среде, сканируя миллиарды файлов с десятками тысяч правил, и устраняем расхождения и ошибки. Это означает, что YARA-X уже проверен в боевых условиях.

Пожалуйста, протестируйте YARA-X и не стесняйтесь открыть issue, если вы найдёте ошибку или какую-либо функцию, которую хотели бы видеть реализованной.

Участие в разработке

Мы приветствуем вклад в YARA-X! Подробности о требовании Google Contributor License Agreement (CLA), соглашениях о стиле кода и о том, как отправлять pull-запросы, читайте в CONTRIBUTING.md.