virustotal/yaraThe pattern matching swiss knife
[!IMPORTANT] Данный проект находится в режиме поддержки. Подробнее: https://virustotal.github.io/yara-x/blog/yara-x-is-stable/
YARA — это инструмент, предназначенный (но не ограничивающийся этим) для помощи исследователям вредоносного ПО в идентификации и классификации образцов вредоносных программ. С помощью YARA вы можете создавать описания семейств вредоносов (или чего угодно, что требуется описать) на основе текстовых или бинарных шаблонов. Каждое описание, также известное как правило, состоит из набора строк и логического выражения, определяющего его логику. Рассмотрим пример:
rule silent_banker : banker
{
meta:
description = "This is just an example"
threat_level = 3
in_the_wild = true
strings:
$a = {6A 40 68 00 30 00 00 6A 14 8D 91}
$b = {8D 4D B0 2B C1 83 C0 27 99 6A 4E 59 F7 F9}
$c = "UVODFRYSIHLNWPEJXQZAKCBGMT"
condition:
$a or $b or $c
}
Приведённое выше правило указывает YARA, что любой файл, содержащий одну из трёх строк, должен быть помечен как silent_banker. Это лишь простой пример; более сложные и мощные правила можно создавать, используя подстановочные знаки, строки без учёта регистра, регулярные выражения, специальные операторы и многие другие возможности, описанные в документации YARA.
YARA является кроссплатформенным инструментом, работающим на Windows, Linux и Mac OS X, и может использоваться как через интерфейс командной строки, так и из собственных скриптов Python с помощью расширения yara-python.
Используете GitHub для хранения своих правил YARA? YARA-CI может стать полезным дополнением к вашему арсеналу. Это приложение для GitHub, обеспечивающее непрерывное тестирование ваших правил, помогая выявлять распространённые ошибки и ложные срабатывания.
Если вы планируете использовать YARA для сканирования сжатых файлов (.zip, .tar и т.д.), стоит обратить внимание на yextend — очень полезное расширение для YARA, разработанное и опубликованное в открытом доступе компанией Bayshore Networks.
Кроме того, ребята из InQuest подготовили отличный список всего, что связано с YARA.
Используете YARA? Хотите видеть свой сайт в этом списке?