Para que serve YARA

YARA é uma ferramenta e uma linguagem de regras para identificar e classificar arquivos e memória por meio de padrões. Os analistas a chamam de canivete suíço da correspondência de padrões para pesquisa de malware.

Uma regra YARA descreve padrões textuais ou binários e uma condição lógica; o mecanismo verifica os alvos e relata as correspondências. Ela faz a ponte entre as descobertas de um analista e uma detecção reutilizável e automatizada.

O YARA complementa os IDS de rede, em vez de substituí-los.

• Snort/Suricata inspecionam o tráfego na rede.
• YARA inspeciona conteúdo armazenado ou na memória: arquivos no disco, memória de processos, anexos de e-mail e conteúdos de arquivos compactados.

Um IDS pode capturar um download em trânsito; o YARA captura a mesma família em uma amostra em quarentena, em uma imagem forense ou em um processo em execução, mesmo quando ela nunca passou por um enlace monitorado.

Um caso de uso central do YARA é a classificação de famílias. Autores de malware reutilizam código, cadeias de texto, chaves de criptografia e mutexes entre diferentes versões. Uma regra YARA captura essas características compartilhadas para que todas as variantes de uma família correspondam a uma única regra, mesmo quando os resumos criptográficos mudam a cada recompilação.

Isso torna o YARA resistente nos casos em que a detecção baseada em resumos falha: uma alteração de um byte derrota um resumo, mas não uma regra de padrões bem escrita.

Malware compactado e ofuscado esconde seu código real no disco, mas precisa desempacotar na memória para ser executado. Verificar a memória de processos ativos ou um despejo de memória com o YARA revela cadeias de texto e estruturas invisíveis no arquivo compactado.

É por isso que os responsáveis pela resposta a incidentes verificam a RAM com o YARA: a configuração descriptografada, os endereços de comando e controle e a carga útil aparecem na memória, mesmo quando a amostra armazenada no disco está completamente ofuscada.

O YARA integra-se a toda a pilha de segurança:

• Agentes EDR verificam os terminais com conjuntos de regras compartilhados
• Ambientes isolados (Cuckoo, CAPE) classificam amostras executadas
• Portais de e-mail e Internet verificam anexos e downloads
• Plataformas de inteligência contra ameaças fazem buscas em repositórios de amostras
• Ferramentas forenses verificam imagens de disco e despejos de memória

Um formato de regra, muitos pontos de aplicação: esse é exatamente o valor da portabilidade que os engenheiros de detecção valorizam.

Plataformas como o VirusTotal permitem executar uma regra YARA contra seu acervo histórico, uma prática chamada de busca retrospectiva. Escreva uma regra para uma família recém-descoberta, faça uma busca retrospectiva e encontre amostras antigas, variantes relacionadas e a linha do tempo da campanha.

Isso transforma uma única amostra em inteligência sobre o histórico de ferramentas de um agente e a reutilização de sua infraestrutura.

Em sua forma mais simples, a CLI do YARA recebe um arquivo de regras e um alvo. Ela imprime o nome da regra e o arquivo correspondente para cada ocorrência.

O poder do YARA exige disciplina. Uma regra mal escrita causa problemas em grande escala.

• Ampla demais -> falsos positivos inundam os analistas e podem colocar arquivos legítimos em quarentena
• Específica demais -> corresponde a uma amostra, mas não identifica a família
• Lenta demais -> expressões regulares pesadas ou átomos minúsculos tornam lentas as verificações em todo o ambiente

O objetivo são regras específicas o bastante para serem confiáveis, gerais o bastante para capturar variantes e eficientes o bastante para serem executadas em qualquer lugar.

Faça a correspondência com características que o autor provavelmente não conseguirá ou não desejará alterar a baixo custo:

• Rotinas de criptografia personalizadas e constantes exclusivas
• Trechos de código característicos e lógica de desempacotamento
• Nomes de mutex, agentes de usuário ou caminhos PDB codificados diretamente
• Anomalias estruturais no formato do arquivo

Evite fazer a correspondência com cadeias de texto genéricas de bibliotecas ou artefatos de compiladores compartilhados por milhares de programas legítimos; eles produzem ruído e são facilmente alterados.

A portabilidade do YARA faz das regras uma moeda comum entre os defensores. Coleções públicas e comerciais selecionadas oferecem um ponto de partida, em vez de exigir que você escreva todas as regras do zero.

• Repositório comunitário YARA-Rules e blogs de pesquisa de fornecedores
• signature-base, de Florian Roth, amplamente usado em IR
• Fontes do ISAC e de fornecedores com regras para famílias e APT

Avalie as regras de terceiros antes de implantá-las: verifique o risco de falsos positivos, organize-as em espaços de nomes para evitar colisões e teste-as contra seu acervo de programas legítimos, pois uma regra externa não avaliada pode gerar ruído em seu ambiente.

O YARA não é uma solução mágica.

• Ele corresponde a padrões, não a comportamentos; não executa a amostra
• Compactação ou criptografia intensas no disco podem esconder tudo até a verificação da memória
• Código polimórfico e metamórfico pode derrotar cadeias de texto estáticas
• Invasores que obtêm suas regras podem criar amostras para contorná-las

Use o YARA como uma camada, junto com detecção comportamental, ambientes isolados e monitoramento de rede, não como uma defesa independente.

Escolha a ferramenta certa para o trabalho.

YARA é correspondência de padrões para arquivos e memória:

• Classifica e identifica conteúdo armazenado ou na memória, complementando os IDS de rede
• Detecta famílias de malware por meio de características compartilhadas, resistindo a alterações nos resumos
• A verificação da memória revela código desempacotado que a análise estática não detecta
• É executado em EDR, ambientes isolados, portais e ferramentas forenses
• A busca retrospectiva transforma uma amostra em inteligência sobre a campanha
• Boas regras são específicas, gerais e eficientes; faça a correspondência com indicadores duráveis
• YARA corresponde a padrões, não a comportamentos; portanto, use-o como uma camada

A seguir: a própria sintaxe das regras.