A cosa serve YARA

YARA è uno strumento e un linguaggio per regole che consentono di identificare e classificare file e memoria in base ai pattern. Gli analisti lo definiscono il coltellino svizzero del pattern matching nella ricerca sul malware.

Una regola YARA descrive pattern testuali o binari e una condizione logica; il motore analizza i target e segnala le corrispondenze. Colma il divario tra le scoperte di un analista e un rilevamento riutilizzabile e automatizzato.

YARA integra gli IDS di rete, anziché sostituirli.

• Snort/Suricata analizzano il traffico sulla rete.
• YARA analizza i contenuti a riposo o in memoria: file su disco, memoria dei processi, allegati e-mail e contenuti degli archivi.

Un IDS può rilevare un download durante il transito; YARA rileva la stessa famiglia in un campione messo in quarantena, in un'immagine forense o in un processo in esecuzione, anche se non ha mai attraversato un collegamento monitorato.

Un caso d'uso fondamentale di YARA è la classificazione delle famiglie. Gli autori di malware riutilizzano codice, stringhe, chiavi di cifratura e mutex tra diverse build. Una regola YARA cattura queste caratteristiche comuni, in modo che tutte le varianti di una famiglia corrispondano a una sola regola, anche se gli hash cambiano a ogni ricompilazione.

Questo rende YARA resistente nei casi in cui il rilevamento basato sugli hash fallisce: una modifica di un solo byte rende diverso un hash, ma non inganna una regola basata su pattern ben scritta.

Il malware packed e offuscato nasconde il codice reale su disco, ma deve essere decompresso in memoria per funzionare. L'analisi con YARA della memoria dei processi attivi o di un dump della memoria rivela stringhe e strutture invisibili nel file packed.

Per questo i responder agli incidenti analizzano la RAM con YARA: la configurazione decifrata, gli indirizzi C2 e il payload compaiono in memoria anche quando il campione su disco è completamente offuscato.

YARA si integra in diversi livelli dello stack di sicurezza:

• Gli agenti EDR analizzano gli endpoint con set di regole condivisi
• Le sandbox (Cuckoo, CAPE) classificano i campioni sottoposti a detonazione
• I gateway di posta e web analizzano allegati e download
• Le piattaforme di threat intelligence eseguono ricerche nei repository di campioni
• Gli strumenti forensi analizzano immagini disco e dump della memoria

Un unico formato di regole e molti punti di applicazione: è proprio il valore della portabilità apprezzato dagli ingegneri del rilevamento.

Piattaforme come VirusTotal consentono di eseguire una regola YARA sul loro corpus storico, una pratica chiamata retrohunting. Scrivete una regola per una famiglia appena scoperta, eseguite il retrohunting e fate emergere campioni più vecchi, varianti correlate e la cronologia della campagna.

In questo modo un singolo campione si trasforma in informazioni sulla storia degli strumenti di un attore e sul riutilizzo della sua infrastruttura.

Nella forma più semplice, la CLI di YARA riceve un file di regole e un target. Stampa il nome della regola e il file corrispondente per ogni rilevamento.

La potenza di YARA richiede disciplina. Una regola scritta male causa problemi su larga scala.

• Troppo ampia -> i falsi positivi sommergono gli analisti e possono mettere in quarantena file legittimi
• Troppo specifica -> corrisponde a un solo campione e non rileva la famiglia
• Troppo lenta -> espressioni regolari pesanti o atomi troppo piccoli rallentano le scansioni sull'intero ambiente

L'obiettivo è creare regole abbastanza specifiche da essere affidabili, abbastanza generali da rilevare le varianti e abbastanza efficienti da essere eseguite ovunque.

Cercate caratteristiche che l'autore difficilmente può o vuole modificare a basso costo:

• Routine di cifratura personalizzate e costanti univoche
• Stub di codice distintivi e logica di unpacking
• Nomi di mutex, user-agent o percorsi PDB hardcoded
• Anomalie strutturali nel formato del file

Evitate di cercare stringhe di librerie generiche o artefatti del compilatore condivisi da migliaia di programmi legittimi; producono rumore e possono essere modificati facilmente.

La portabilità di YARA rende le regole una valuta comune tra i difensori. Le raccolte pubbliche e commerciali curate vi offrono un punto di partenza, invece di costringervi a scrivere ogni regola da zero.

• Il repository della community YARA-Rules e i blog di ricerca dei vendor
• Il signature-base di Florian Roth, ampiamente utilizzato nell'IR
• Feed degli ISAC e dei vendor con regole per famiglie e APT

Verificate le regole di terze parti prima di distribuirle: controllate il rischio di falsi positivi, assegnate loro uno spazio dei nomi per evitare collisioni e testatele sul vostro corpus di software legittimo, poiché una regola esterna non verificata può produrre rumore nel vostro ambiente.

YARA non è una soluzione universale.

• Corrisponde ai pattern, non al comportamento; non esegue il campione
• Un packing o una cifratura pesanti sul disco possono nascondere ogni elemento finché non viene analizzata la memoria
• Il codice polimorfico e metamorfico può eludere le stringhe statiche
• Gli avversari che ottengono le vostre regole possono aggirarle appositamente

Utilizzate YARA come un livello tra gli altri, insieme al rilevamento comportamentale, alla sandboxing e al monitoraggio della rete, non come difesa autonoma.

YARA esegue il pattern matching su file e memoria:

• Classifica e identifica i contenuti a riposo o in memoria, integrando gli IDS di rete
• Rileva le famiglie di malware in base alle caratteristiche comuni, resistendo alle modifiche degli hash
• La scansione della memoria rivela il codice decompresso che l'analisi statica non riesce a individuare
• Viene eseguito in EDR, sandbox, gateway e strumenti forensi
• Il retrohunting trasforma un singolo campione in informazioni sulla campagna
• Le buone regole sono specifiche, generali ed efficienti; cercate indicatori duraturi
• YARA rileva i pattern, non il comportamento, quindi utilizzatelo come un solo livello di difesa

Prossimo argomento: la sintassi delle regole.