Do czego służy YARA

YARA to narzędzie i język reguł służące do identyfikowania i klasyfikowania plików oraz pamięci na podstawie wzorców. Analitycy nazywają ją szwajcarskim scyzorykiem do dopasowywania wzorców w badaniach złośliwego oprogramowania.

Reguła YARA opisuje wzorce tekstowe lub binarne oraz warunek logiczny; silnik skanuje cele i zgłasza dopasowania. Łączy ustalenia analityka z wielokrotnie używalnym, zautomatyzowanym wykrywaniem.

YARA uzupełnia sieciowy IDS, a nie zastępuje go.

• Snort/Suricata analizują ruch w sieci.
• YARA analizuje zawartość zapisaną na nośniku lub znajdującą się w pamięci: pliki na dysku, pamięć procesów, załączniki wiadomości e-mail i zawartość archiwów.

IDS może wykryć pobieranie podczas transmisji, a YARA wykrywa tę samą rodzinę w poddanej kwarantannie próbce, obrazie śledczym lub działającym procesie, nawet jeśli nigdy nie dotknęła monitorowanego łącza.

Jednym z głównych zastosowań YARA jest klasyfikowanie rodzin. Autorzy złośliwego oprogramowania ponownie wykorzystują kod, ciągi znaków, klucze szyfrowania i mutexy w kolejnych kompilacjach. Reguła YARA opisuje te wspólne cechy, dzięki czemu wszystkie warianty rodziny pasują do jednej reguły, nawet gdy hashe zmieniają się przy każdej rekompilacji.

Dzięki temu YARA pozostaje skuteczna tam, gdzie zawodzi wykrywanie na podstawie hashy: zmiana jednego bajtu niweczy hash, ale nie dobrze napisaną regułę wzorcową.

Spakowane i zaciemnione złośliwe oprogramowanie ukrywa prawdziwy kod na dysku, ale musi rozpakować się w pamięci, aby działać. Skanowanie pamięci działającego procesu lub zrzutu pamięci za pomocą YARA ujawnia ciągi znaków i struktury niewidoczne w spakowanym pliku.

Dlatego osoby reagujące na incydenty skanują pamięć RAM za pomocą YARA: odszyfrowana konfiguracja, adresy C2 i payload pojawiają się w pamięci, nawet gdy próbka zapisana na dysku jest całkowicie zaciemniona.

YARA integruje się z całym stosem bezpieczeństwa:

• Agenci EDR skanują punkty końcowe za pomocą współdzielonych zestawów reguł
• Piaskownice (Cuckoo, CAPE) klasyfikują uruchomione próbki
• Bramy pocztowe i internetowe skanują załączniki i pobierane pliki
• Platformy threat intelligence wyszukują zagrożenia w repozytoriach próbek
• Narzędzia śledcze skanują obrazy dysków i zrzuty pamięci

Jeden format reguł i wiele punktów zastosowania — właśnie ta przenośność jest ceniona przez inżynierów odpowiedzialnych za wykrywanie.

Platformy takie jak VirusTotal umożliwiają uruchomienie reguły YARA na ich historycznym zbiorze danych. Praktyka ta nosi nazwę retrohuntingu. Należy napisać regułę dla nowo odkrytej rodziny, przeprowadzić retrohunting i znaleźć starsze próbki, powiązane warianty oraz oś czasu kampanii.

W ten sposób pojedyncza próbka dostarcza informacji o historii narzędzi danego aktora i ponownym wykorzystaniu jego infrastruktury.

W najprostszym przypadku interfejs CLI YARA przyjmuje plik reguł i cel. Dla każdego trafienia wyświetla nazwę reguły oraz plik, w którym znaleziono dopasowanie.

Siła YARA wymaga dyscypliny. Źle napisana reguła powoduje problemy przy dużej skali.

• Zbyt szeroka -> fałszywe alarmy zalewają analityków i mogą prowadzić do poddawania bezpiecznych plików kwarantannie
• Zbyt szczegółowa -> pasuje do jednej próbki, ale pomija rodzinę
• Zbyt wolna -> ciężkie wyrażenia regularne lub zbyt małe atomy spowalniają skanowanie całego środowiska

Celem są reguły wystarczająco szczegółowe, aby można było im ufać, wystarczająco ogólne, aby wykrywać warianty, oraz wystarczająco wydajne, aby działać wszędzie.

Należy dopasowywać cechy, których autor raczej nie zmieni lub nie jest w stanie tanio zmienić:

• Niestandardowe procedury szyfrowania i unikatowe stałe
• Charakterystyczne fragmenty kodu i logika rozpakowywania
• Zahardkodowane nazwy mutexów, user-agenty lub ścieżki PDB
• Anomalie strukturalne w formacie pliku

Należy unikać dopasowywania ogólnych ciągów znaków z bibliotek lub artefaktów kompilatora współdzielonych przez tysiące bezpiecznych programów; generują one szum i można je łatwo zmienić.

Przenośność YARA sprawia, że reguły są wspólną walutą obrońców. Wyselekcjonowane publiczne i komercyjne zbiory dają dobry punkt wyjścia, zamiast wymagać pisania każdej reguły od zera.

• YARA-Rules, społecznościowe repozytorium, oraz blogi badawcze dostawców
• Baza Florian Rotha signature-base, powszechnie używana w IR
• Kanały ISAC i dostawców zawierające reguły dotyczące rodzin i APT

Reguły zewnętrznych dostawców należy zweryfikować przed wdrożeniem: sprawdzić ryzyko fałszywych alarmów, przypisać im przestrzenie nazw, aby uniknąć kolizji, oraz przetestować je na zbiorze bezpiecznych plików, ponieważ niesprawdzona zewnętrzna reguła może generować szum w danym środowisku.

YARA nie jest uniwersalnym rozwiązaniem.

• Dopasowuje wzorce, a nie zachowanie; nie uruchamia próbki
• Silne pakowanie lub szyfrowanie na dysku może ukryć wszystko aż do skanowania pamięci
• Kod polimorficzny i metamorficzny może pokonać statyczne ciągi znaków
• Atakujący, którzy zdobędą reguły, mogą odpowiednio zmodyfikować kod, aby je obchodzić

YARA należy stosować jako jedną z warstw ochrony, obok wykrywania behawioralnego, piaskownic i monitorowania sieci, a nie jako samodzielną ochronę.

YARA służy do dopasowywania wzorców w plikach i pamięci:

• Klasyfikuje i identyfikuje treści przechowywane lub znajdujące się w pamięci, uzupełniając sieciowy IDS
• Wykrywa rodziny złośliwego oprogramowania na podstawie wspólnych cech, pozostając odporna na zmiany hashy
• Skanowanie pamięci ujawnia rozpakowany kod, którego nie wykrywa analiza statyczna
• Działa w agentach EDR, piaskownicach, bramach i narzędziach śledczych
• Retrohunting przekształca pojedynczą próbkę w wiedzę o kampanii
• Dobre reguły są szczegółowe, ogólne i wydajne; należy dopasowywać trwałe wskaźniki
• YARA dopasowuje wzorce, a nie zachowanie, dlatego powinna być jedną z warstw ochrony

Teraz: sama składnia reguł.