yara规则初识

原创

已于 2023-02-02 13:49:51 修改 · 2.9k 阅读

4 ·

CC 4.0 BY-SA版权

文章标签：

#YARA

于 2022-11-02 15:59:13 首次发布

本文介绍了YARA工具的基本概念、安装方法、使用参数及如何在Python中调用。YARA是一款强大的开源工具，能够帮助安全研究人员检测和分类恶意软件。文中还提供了YARA规则的示例，并详细讲解了规则的组成部分及其含义。

一、YARA介绍

YARA 是一个免费开源工具，旨在帮助安全人员检测和分类恶意软件，但它不应仅限于这一种用途。YARA规则还可以帮助检测特定文件或您可能想要检测的任何内容。目前使用YARA 的知名软件有赛门铁克、火眼、卡巴斯基、VirusTotal、安天等。

YARA的每一条描述、规则都由一系列字符串和一个布尔型表达式构成，并阐述其逻辑。YARA规则可以与文件或在运行的进程，以帮助研究人员识别其是否属于某个已进行规则描述的恶意软件等。

rule silent_banker : banker
{
    meta:
        description = "This is just an example"
        threat_level = 3
        in_the_wild = true
        author="zq" 
        version="0.1" 
        date="2022/08/12"
    strings:
        $a = {6A 40 68 00 30 00 00 6A 14 8D 91}  # 文本转16进制：16进制转换，16进制转换文本字符串，在线16进制转换 | 在线工具
        $b = {8D 4D B0 2B C1 83 C0 27 99 6A 4E 59 F7 F9}
        $c = "UVODFRYSIHLNWPEJXQZAKCBGMT"
    condition:
        $a or $b or $c
}

上述例子中，任意一个YARA文件，只要包含了三个字符串如a、b、c之一的文件都必须报告为silent_banker。

其中：

rule silent_banker : banker 是声明当前规则名称，这个名称可以解释为检测banker类型的样本；
meta 后面的是一些描述信息，比如可以有规则说明、作者信息、威胁等级、在野情况、文件MD5、来源等内容；
strings后面是检测规则，有字符串、字节序列等内容；
condition为判断条件。在本例检测规则处定义的字节序列和字符串，判断条件是or，所以只要匹配到$a $b $c三个字符串或字节序列中的任意一个，那么样本就会被识别成silent_banker 。