Sintaxis de reglas YARA

Una regla de YARA tiene un nombre y hasta tres secciones: meta, strings y condition. La condición es la única sección obligatoria, pero las reglas reales utilizan las tres.

meta contiene metadatos descriptivos que no afectan a la coincidencia, pero son fundamentales para la clasificación y el mantenimiento.

• author, date, description
• reference — enlace a un informe o aviso
• hash — muestra(s) a partir de las que se creó la regla
• tlp — clasificación de compartición

Los valores son cadenas, enteros o booleanos. Trate meta como documentación: la próxima persona que responda al incidente dependerá de ella.

La sección strings define identificadores (que comienzan por $) asociados a patrones. La forma más sencilla es una cadena de texto entre comillas.

Los modificadores permiten ajustar la coincidencia:

• nocase — sin distinción entre mayúsculas y minúsculas
• wide — UTF-16 (dos bytes por carácter, habitual en Windows)
• ascii — ASCII (valor predeterminado; combínelo con wide para coincidir con ambos formatos)
• fullword — coincide únicamente con una palabra completa

Para los patrones binarios, utilice una cadena hexadecimal entre llaves. Estas cadenas coinciden con bytes sin procesar, por lo que son ideales para códigos de operación, números mágicos y estructuras.

Las cadenas hexadecimales admiten flexibilidad:

• ?? — nibble/byte comodín
• [n-m] — un salto de n a m bytes arbitrarios
• ( A | B ) — alternativas

YARA admite patrones de expresiones regulares delimitados por barras, con los mismos modificadores que las cadenas de texto. Use expresiones regulares cuando un patrón varíe, pero siga una estructura, como un marcador de configuración o el nombre de un mutex generado.

Las expresiones regulares son potentes, pero costosas; prefiera cadenas fijas o hexadecimales cuando sea posible y delimítelas bien para evitar analizar todo el archivo.

condition es una expresión booleana que decide si se produce una coincidencia. Haga referencia directamente a los identificadores de cadena; un $a sin más es verdadero si se encontró la cadena.

Combine expresiones con and, or, not y paréntesis. Aquí es donde se codifica la lógica que permite distinguir una coincidencia real de una familia de una simple coincidencia fortuita.

YARA ofrece cuantificadores expresivos para conjuntos de cadenas:

• any of them / all of them
• 2 of ($s*) — al menos dos de un grupo
• #a > 3 — el número de coincidencias de $a supera 3

Esto permite exigir, por ejemplo, tres de cinco marcadores de una familia, equilibrando la sensibilidad y los falsos positivos.

Las condiciones pueden hacer referencia a dónde se produce una coincidencia y al tamaño del archivo:

• $a at 0 — la coincidencia debe estar en el desplazamiento 0
• $a in (0..1024) — dentro de un rango de bytes
• filesize — tamaño total, por ejemplo filesize < 200KB
• uint16(0) == 0x5A4D — lee un entero en un desplazamiento (en este caso, el encabezado MZ)

Fijar las coincidencias a una posición reduce drásticamente los falsos positivos y acelera el análisis.

Los módulos de YARA exponen datos estructurados y adaptados al formato, de modo que las condiciones pueden trabajar con campos analizados en lugar de bytes sin procesar.

• pe — importaciones PE, secciones, punto de entrada, firmas e imphash
• hash — calcula md5/sha256 de regiones
• math — entropía y estadísticas
• elf, dotnet, magic

Importar pe, por ejemplo, permite buscar funciones importadas o un imphash específico, lo que es mucho más sólido que buscar una cadena literal.

Para expresar una lógica más avanzada, YARA admite bucles sobre colecciones con for. Puede expresar condiciones como que al menos dos de estos desplazamientos cumplan una propiedad o que cualquier nombre de sección coincida con un patrón.

Esto es esencial al trabajar con datos de módulos, como secciones o importaciones PE, donde debe inspeccionarse una lista de longitud variable en lugar de un único valor.

Las palabras clave a nivel de regla organizan un conjunto de reglas:

• global rule — su condición controla todas las demás reglas del archivo (por ejemplo, para analizar únicamente archivos PE)
• private rule — bloque de construcción reutilizable, que no se informa por sí solo, pero al que pueden hacer referencia otras reglas
• Las etiquetas posteriores al nombre de la regla clasifican las coincidencias (por ejemplo, para filtrar la salida)

Analice la solidez de una condición.

Sintaxis de las reglas de YARA de un vistazo:

• Una regla = meta + strings + condition
• Cadenas de texto con los modificadores nocase/wide/ascii/fullword
• Cadenas hexadecimales con comodines ??, saltos [n-m] y alternativas
• Expresiones regulares para patrones variables estructurados (úsense con moderación)
• condition combina cadenas con and/or/not
• Cuantificadores: any/all/N of y el conteo #a
• Fijación de posición: at, in, filesize y lecturas con uint
• Los módulos (pe, hash, math) buscan datos estructurados e imphash
• global, private y las etiquetas organizan los conjuntos de reglas

A continuación: búsqueda práctica con cadenas y hexadecimal.