Règles YARA pour détecter les logiciels malveillants

YARA est un outil de mise en correspondance de motifs conçu pour classifier les logiciels malveillants. Les règles décrivent des familles en combinant des motifs de chaînes, des séquences d’octets et des conditions booléennes. YARA analyse les fichiers, les processus ou la mémoire et signale les correspondances.

Une règle comporte trois sections : meta (métadonnées comme l’auteur et la date), strings (motifs à rechercher) et condition (logique booléenne combinant les chaînes). Les règles sont compilées dans un analyseur afin de parcourir rapidement le système de fichiers.

YARA prend en charge trois types de chaînes : les chaînes en texte brut (avec les modificateurs nocase et wide), les motifs hexadécimaux avec caractères génériques ({ 4D 5A ?? ?? }) et les expressions régulières (/pattern/). Le modificateur wide prend en charge les chaînes UTF-16 courantes dans les logiciels malveillants Windows.

Utilisez ?? pour les caractères génériques d’un octet et [n-m] pour les sauts de longueur variable dans les motifs hexadécimaux. Exemple : { 60 89 E5 31 C0 [4-8] 5D C3 } correspond à un fragment de shellcode indépendamment de ses sections variables.

Les conditions combinent les chaînes avec and, or et not. Utilisez any of them, all of them ou 2 of ($a*) pour une mise en correspondance flexible. Les conditions à seuil comme 5 of ($s*) réduisent les faux positifs associés aux chaînes génériques.

YARA peut vérifier la taille du fichier (filesize < 1MB), les propriétés de l’en-tête PE (pe.imphash()) et les octets du point d’entrée (uint16(0) == 0x5A4D). Les conditions du module PE détectent des artefacts précis du compilateur et les métadonnées de l’éditeur de liens.

Utilisez comme chaînes de règle les chaînes extraites pendant l’analyse statique ou dynamique. Une URL C2, un nom de mutex unique, un message d’erreur précis ou une séquence d’octets provenant du fragment de shellcode constituent chacun de solides chaînes YARA avec peu de FP.

Testez avec yara rule.yar /path/to/sample. Validez les règles sur un corpus de fichiers sains afin de mesurer les taux de faux positifs. Utilisez --no-warnings pour obtenir une sortie silencieuse et -r pour analyser récursivement les répertoires.

Les règles YARA s’exécutent dans ClamAV, OSSEC, Velociraptor, Splunk et les plateformes EDR. Centralisez les règles dans un dépôt Git, versionnez-les, faites-les relire par des pairs avant leur déploiement et suivez les statistiques de correspondance afin de retirer les règles peu utiles.

Les chaînes trop génériques entraînent des faux positifs. Les motifs hexadécimaux très courts correspondent à du bruit. Évaluez toujours les règles sur des échantillons sains représentatifs avant leur déploiement. Utilisez all of them plutôt que any of them lorsque c’est possible afin d’améliorer la précision.

YARA-Forge regroupe des règles communautaires de haute qualité. Les dépôts de logiciels malveillants comme MalwareBazaar fournissent des échantillons pour les tests. Les dépôts GitHub de fournisseurs (Mandiant, Kaspersky) publient des règles de niveau recherche que vous pouvez étudier et adapter.

Les règles YARA combinent des motifs de chaînes, des séquences d’octets et des conditions booléennes pour classifier les familles de logiciels malveillants. La création de règles à partir des résultats de l’analyse comportementale, leur test sur des corpus sains et leur déploiement via des plateformes de sécurité permettent d’obtenir une couverture de détection évolutive.