Para qué sirve YARA

YARA es una herramienta y un lenguaje de reglas para identificar y clasificar archivos y memoria mediante patrones. Los analistas la consideran la navaja suiza de la coincidencia de patrones para la investigación de malware.

Una regla de YARA describe patrones textuales o binarios y una condición lógica; el motor analiza los objetivos e informa de las coincidencias. Conecta los hallazgos de un analista con una detección reutilizable y automatizada.

YARA complementa al IDS de red, no lo sustituye.

• Snort/Suricata inspeccionan el tráfico en la red.
• YARA inspecciona contenido en reposo o en memoria: archivos en disco, memoria de procesos, archivos adjuntos de correo y contenido de archivos comprimidos.

Un IDS puede detectar una descarga durante el tránsito; YARA detecta la misma familia en una muestra puesta en cuarentena, una imagen forense o un proceso en ejecución, incluso si nunca pasó por un enlace supervisado.

Un caso de uso fundamental de YARA es la clasificación de familias. Los autores de malware reutilizan código, cadenas, claves de cifrado y mutexes entre distintas compilaciones. Una regla de YARA captura estos rasgos compartidos para que todas las variantes de una familia coincidan con una sola regla, aunque los hashes cambien con cada recompilación.

Esto hace que YARA sea resistente donde falla la detección basada en hashes: un cambio de un byte invalida un hash, pero no una regla de patrones bien escrita.

El malware empaquetado y ofuscado oculta su código real en disco, pero debe desempaquetarse en memoria para ejecutarse. Analizar con YARA la memoria de procesos activos o un volcado de memoria revela cadenas y estructuras que son invisibles en el archivo empaquetado.

Por eso los equipos de respuesta ante incidentes analizan la RAM con YARA: la configuración descifrada, las direcciones de C2 y la carga útil aparecen en memoria aunque la muestra almacenada en disco esté completamente ofuscada.

YARA se integra en toda la pila de seguridad:

• Los agentes EDR analizan los endpoints con conjuntos de reglas compartidos
• Los sandboxes (Cuckoo, CAPE) clasifican las muestras detonadas
• Las pasarelas de correo y web analizan archivos adjuntos y descargas
• Las plataformas de inteligencia de amenazas buscan en repositorios de muestras
• Las herramientas forenses analizan imágenes de disco y volcados de memoria

Un formato de reglas y muchos puntos de aplicación: esa es precisamente la portabilidad que valoran los ingenieros de detección.

Plataformas como VirusTotal permiten ejecutar una regla de YARA contra su corpus histórico, una práctica denominada retrohunting. Escriba una regla para una familia recién descubierta, haga retrohunting y encuentre muestras antiguas, variantes relacionadas y la cronología de la campaña.

Así, una sola muestra se convierte en inteligencia sobre el historial de herramientas de un actor y la reutilización de su infraestructura.

En su forma más sencilla, la CLI de YARA recibe un archivo de reglas y un objetivo. Imprime el nombre de la regla y el archivo coincidente por cada resultado.

El poder de YARA exige disciplina. Una regla mal escrita causa problemas a escala.

• Demasiado amplia -> los falsos positivos inundan a los analistas y pueden poner en cuarentena archivos legítimos
• Demasiado específica -> coincide con una sola muestra y no detecta la familia
• Demasiado lenta -> las expresiones regulares costosas o los átomos diminutos ralentizan los análisis de todo el entorno

El objetivo es crear reglas suficientemente específicas para ser fiables, suficientemente generales para detectar variantes y suficientemente eficientes para ejecutarse en cualquier lugar.

Busque rasgos que el autor sea poco probable que pueda cambiar de forma económica:

• Rutinas de cifrado personalizadas y constantes únicas
• Fragmentos de código distintivos y lógica de desempaquetado
• Nombres de mutex, user-agents o rutas PDB codificados de forma fija
• Anomalías estructurales en el formato del archivo

Evite buscar cadenas de bibliotecas genéricas o artefactos del compilador compartidos por miles de programas legítimos; generan ruido y se modifican fácilmente.

La portabilidad de YARA convierte las reglas en una moneda común entre los defensores. Las colecciones públicas y comerciales seleccionadas le ofrecen una base inicial en lugar de obligarle a escribir cada regla desde cero.

• El repositorio comunitario YARA-Rules y los blogs de investigación de proveedores
• La signature-base de Florian Roth, muy utilizada en respuesta ante incidentes
• Fuentes de ISAC y proveedores con reglas para familias y APT

Evalúe las reglas de terceros antes de implementarlas: compruebe el riesgo de falsos positivos, asígneles un espacio de nombres para evitar colisiones y pruébelas contra su corpus de software legítimo, ya que una regla externa no evaluada puede generar ruido en su entorno.

YARA no es una solución mágica.

• Coincide con patrones, no con comportamientos; no ejecuta la muestra
• El empaquetado o cifrado intenso en disco puede ocultarlo todo hasta analizar la memoria
• El código polimórfico y metamórfico puede eludir las cadenas estáticas
• Los adversarios que obtengan sus reglas pueden diseñar malware para sortearlas

Utilice YARA como una capa más junto con la detección basada en comportamiento, el sandboxing y la supervisión de red, no como una defensa independiente.

Elija la herramienta adecuada para cada tarea.

YARA permite buscar patrones en archivos y memoria:

• Clasifica e identifica contenido en reposo o en memoria, como complemento del IDS de red
• Detecta familias de malware mediante rasgos compartidos y resiste los cambios en los hashes
• El análisis de memoria revela código desempaquetado que el análisis estático no detecta
• Se ejecuta en EDR, sandboxes, pasarelas y herramientas forenses
• El retrohunting convierte una muestra en inteligencia sobre la campaña
• Las buenas reglas son específicas, generales y eficientes; buscan indicadores duraderos
• YARA detecta patrones, no comportamientos, por lo que debe utilizarse como una capa más

Siguiente: la propia sintaxis de las reglas.