À quoi sert YARA

YARA est un outil et un langage de règles permettant d'identifier et de classer les fichiers et la mémoire selon leurs motifs. Les analystes le décrivent comme le couteau suisse de la recherche de logiciels malveillants fondée sur les motifs.

Une règle YARA décrit des motifs textuels ou binaires ainsi qu'une condition logique ; le moteur analyse les cibles et signale les correspondances. Elle fait le lien entre les découvertes d'un analyste et une détection réutilisable et automatisée.

YARA complète les IDS réseau au lieu de les remplacer.

• Snort/Suricata inspectent le trafic sur le réseau.
• YARA inspecte le contenu au repos ou en mémoire : fichiers sur disque, mémoire des processus, pièces jointes de courriel et contenu des archives.

Un IDS peut détecter un téléchargement pendant son transit ; YARA détecte la même famille dans un échantillon mis en quarantaine, une image forensique ou un processus en cours d'exécution, même si elle n'a jamais traversé une liaison surveillée.

La classification des familles est l'un des principaux cas d'utilisation de YARA. Les auteurs de logiciels malveillants réutilisent du code, des chaînes, des clés de chiffrement et des mutex dans plusieurs versions. Une règle YARA capture ces caractéristiques communes afin que toutes les variantes d'une famille correspondent à une seule règle, même lorsque les hachages changent à chaque recompilation.

YARA reste ainsi efficace là où la détection fondée sur les hachages échoue : une modification d'un seul octet suffit à invalider un hachage, mais pas une règle de motifs bien écrite.

Les logiciels malveillants compressés et obfusqués dissimulent leur véritable code sur le disque, mais doivent se décompresser en mémoire pour s'exécuter. L'analyse de la mémoire vive d'un processus ou d'un vidage mémoire avec YARA révèle des chaînes et des structures invisibles dans le fichier compressé.

C'est pourquoi les intervenants en réponse à incident analysent la RAM avec YARA : la configuration déchiffrée, les adresses C2 et la charge utile apparaissent en mémoire, même lorsque l'échantillon sur disque est entièrement obfusqué.

YARA s'intègre à tous les niveaux de la pile de sécurité :

• Les agents EDR analysent les points de terminaison avec des ensembles de règles partagés
• Les bac à sable (Cuckoo, CAPE) classent les échantillons soumis à exécution
• Les passerelles de messagerie et web analysent les pièces jointes et les téléchargements
• Les plateformes de renseignement sur les menaces recherchent dans les référentiels d'échantillons
• Les outils forensiques analysent les images disque et les vidages mémoire

Un format de règle unique et de nombreux points d'application : c'est précisément la portabilité que recherchent les ingénieurs en détection.

Des plateformes comme VirusTotal permettent d'exécuter une règle YARA sur leur corpus historique ; cette pratique s'appelle la chasse rétrospective. Écrivez une règle pour une famille récemment découverte, effectuez une chasse rétrospective et faites apparaître d'anciens échantillons, des variantes apparentées et la chronologie de la campagne.

Un seul échantillon devient ainsi une source de renseignements sur l'historique des outils d'un acteur et la réutilisation de son infrastructure.

Dans sa forme la plus simple, la CLI YARA prend un fichier de règles et une cible en entrée. Elle affiche le nom de la règle et le fichier correspondant pour chaque résultat.

La puissance de YARA exige de la rigueur. Une règle mal écrite pose des problèmes à grande échelle.

• Trop générale -> les faux positifs submergent les analystes et peuvent mettre en quarantaine des fichiers légitimes
• Trop spécifique -> elle correspond à un seul échantillon et ignore la famille
• Trop lente -> des expressions régulières lourdes ou de minuscules atomes ralentissent les analyses à l'échelle de tout le parc

L'objectif est de créer des règles suffisamment spécifiques pour être fiables, suffisamment générales pour détecter les variantes et suffisamment efficaces pour être exécutées partout.

Faites correspondre des caractéristiques que l'auteur est peu susceptible ou incapable de modifier à faible coût :

• Routines de chiffrement personnalisées et constantes uniques
• Blocs de code distinctifs et logique de décompression
• Noms de mutex, agents utilisateurs ou chemins PDB codés en dur
• Anomalies structurelles dans le format du fichier

Évitez de rechercher des chaînes de bibliothèques génériques ou des artefacts de compilateur partagés par des milliers de programmes légitimes ; ils produisent du bruit et sont très faciles à modifier.

La portabilité de YARA fait des règles une langue commune entre les défenseurs. Les collections publiques et commerciales sélectionnées vous donnent une longueur d'avance au lieu de vous obliger à écrire chaque règle à partir de zéro.

• Le dépôt communautaire YARA-Rules et les blogs de recherche des éditeurs
• La base de signatures signature-base de Florian Roth, largement utilisée en IR
• Les flux des ISAC et des éditeurs contenant des règles pour les familles et les APT

Évaluez les règles tierces avant leur déploiement : vérifiez leur risque de faux positifs, attribuez-leur un espace de noms pour éviter les collisions et vérifiez-les sur votre corpus de logiciels légitimes, car une règle externe non évaluée peut être bruyante dans votre environnement.

YARA n'est pas une solution miracle.

• Elle fait correspondre des motifs, et non des comportements ; elle n'exécute pas l'échantillon
• Une compression ou un chiffrement important sur le disque peut tout dissimuler jusqu'à l'analyse de la mémoire
• Le code polymorphe et métamorphe peut déjouer les chaînes statiques
• Les adversaires qui obtiennent vos règles peuvent les contourner

Utilisez YARA comme une couche parmi d'autres, aux côtés de la détection comportementale, de l'analyse en bac à sable et de la surveillance du réseau, et non comme une défense autonome.

Choisissez l'outil adapté à la tâche.

YARA permet la recherche par motifs dans les fichiers et la mémoire :

• Elle classe et identifie le contenu au repos ou en mémoire, en complément des IDS réseau
• Elle détecte les familles de logiciels malveillants grâce à leurs caractéristiques communes, en résistant aux changements de hachage
• L'analyse de la mémoire révèle le code décompressé que l'analyse statique ne détecte pas
• Elle s'exécute dans les EDR, bacs à sable, passerelles et outils forensiques
• La chasse rétrospective transforme un échantillon en renseignements sur une campagne
• Les bonnes règles sont spécifiques, générales et efficaces ; faites correspondre des indicateurs durables
• YARA fait correspondre des motifs, et non des comportements ; utilisez-la donc comme une couche parmi d'autres

Ensuite : la syntaxe des règles elle-même.