Indicadores de compromiso y reglas YARA
Convierta los hallazgos del análisis de malware en detecciones reutilizables: extraiga indicadores de compromiso y escriba reglas YARA para identificar muestras relacionadas.
Indicadores de compromiso y reglas YARA es una lección gratuita de Reverse Engineering & Binary Analysis Basics en CoddyKit. Esta es la lección 4 de 4. Puedes leer la lección completa abajo gratuitamente — luego la practicas en el navegador con un editor de código integrado y un tutor de IA 24/7. Forma parte de la ruta de aprendizaje de Reverse Engineering & Binary Analysis Basics, y tu progreso se sincroniza en la web y la app de CoddyKit. El curso de Reverse Engineering & Binary Analysis Basics incluye 4 lecciones en total.
Partes de esta lección aún no han sido traducidas y se muestran en inglés.
From Analysis to Detection
You can classify malware types, perform basic behavioral analysis, and unpack samples. The payoff is detection: converting what you learned into signals that catch the same threat elsewhere.
What Is an IOC?
An Indicator of Compromise (IOC) is an observable artifact that suggests an intrusion.
- File hashes (MD5, SHA-256)
- Domains and IP addresses
- Registry keys, mutexes, file paths
Hashes: Precise but Brittle
A SHA-256 hash uniquely fingerprints one file. But changing a single byte changes the hash, so attackers evade hash-only detection easily.
That is why we need more resilient indicators.
sha256sum sample.exe
# 9f86d0818... sample.exeFuzzy and Behavioral IOCs
More robust indicators survive minor changes:
- A unique mutex name the malware creates
- A hardcoded user-agent string
- A characteristic command-and-control URL pattern
These catch whole families, not just one sample.
Introducing YARA
YARA is a pattern-matching tool that describes malware via rules. Each rule has metadata, strings, and a condition.
YARA scans files or memory and reports matches, making your findings reusable.
Anatomy of a YARA Rule
A rule has three sections: meta for documentation, strings for patterns, and condition for the matching logic.
rule Example_Trojan {
meta:
author = 'analyst'
desc = 'Detects sample family X'
strings:
$a = 'evil-c2.example.com'
$b = { 6A 40 68 00 30 00 00 }
condition:
$a or $b
}Text vs Hex Strings
YARA matches both text strings (with modifiers like nocase, wide) and hex byte sequences.
Hex patterns with wildcards (??) catch code that varies slightly.
strings:
$ua = 'Mozilla/4.0 (compatible; Evil)' wide nocase
$stub = { E8 ?? ?? ?? ?? 83 C4 04 }Writing Good Conditions
Conditions combine strings with logic and counts.
all of themrequires every string2 of ($a, $b, $c)needs at least two- Add
filesizeor PE checks to reduce false positives
condition:
uint16(0) == 0x5A4D and 2 of ($s*)Avoiding False Positives
A rule that matches common library strings will fire on innocent files. Choose strings that are unique to the malware, and test against a clean goodware set.
Tight conditions keep analysts trusting your rules.
Sharing Detection
IOCs and YARA rules are shareable threat intelligence. Distribute them via formats like STIX or simple rule files so other defenders benefit.
This is how one analysis protects an entire community.
yara -r my_rules.yar /samples/Hunting with Rules
Beyond scanning one file, you can sweep a whole estate. Recursively scan endpoints or even live memory to find every machine matching the family.
This turns a single analysis into proactive threat hunting.
yara -r -p 8 trojan.yar /mnt/hosts/ > hits.txtQuick Check
Why is a SHA-256 hash a brittle indicator of compromise on its own?
Recap
You now operationalize malware analysis:
- Extract IOCs: hashes, domains, mutexes, behaviors
- Prefer resilient indicators over brittle hashes
- Write YARA rules with meta, strings, and tight conditions
- Test against goodware and share as threat intel
Preguntas frecuentes
¿La lección «Indicadores de compromiso y reglas YARA» es gratis?
Sí — el texto completo de «Indicadores de compromiso y reglas YARA» es gratis para leer aquí en la web. Para practicarla de forma interactiva (editor de código integrado y tutor de IA 24/7) y desbloquear el resto del curso de Reverse Engineering & Binary Analysis Basics, actualiza a CoddyKit PRO. El curso de Reverse Engineering & Binary Analysis Basics incluye 4 lecciones en total.
¿Qué aprenderé en «Indicadores de compromiso y reglas YARA»?
Convierta los hallazgos del análisis de malware en detecciones reutilizables: extraiga indicadores de compromiso y escriba reglas YARA para identificar muestras relacionadas. Practicas Reverse Engineering & Binary Analysis Basics con código real que ejecutas directamente en el navegador, y un tutor de IA 24/7 responde tus preguntas mientras trabajas en la lección.
¿Necesito experiencia previa para empezar Reverse Engineering & Binary Analysis Basics?
No se requiere experiencia previa. Reverse Engineering & Binary Analysis Basics en CoddyKit está estructurado para principiantes hasta estudiantes avanzados, así que puedes empezar aquí o desde el inicio y avanzar a tu ritmo. Esta es la lección 4 de 4.
¿Cuánto tiempo toma la lección «Indicadores de compromiso y reglas YARA»?
La mayoría de las lecciones de CoddyKit toman alrededor de 5–10 minutos. Cada una es compacta e interactiva, así que avanzas constantemente y retomas exactamente por donde dejaste en la web y la app.
¿Puedo escribir y ejecutar código en esta lección de Reverse Engineering & Binary Analysis Basics?
Sí. Cada lección de Reverse Engineering & Binary Analysis Basics incluye un editor de código integrado, así que escribes y ejecutas código real directamente en tu navegador y obtienes retroalimentación instantánea de IA — sin configuración local necesaria.
Todas las lecciones de este curso
- Tipos de malware y su comportamiento
- Análisis básico del comportamiento
- Introducción al desempaquetado de malware
- Indicadores de compromiso y reglas YARA