Sintaxe de regras YARA

Uma regra YARA tem um nome e até três seções: meta, strings e condition. A condição é a única seção obrigatória, mas as regras reais usam as três.

meta contém metadados descritivos que não afetam a correspondência, mas são essenciais para a triagem e a manutenção.

• author, date, description
• reference — link de relatório ou aviso
• hash — amostra(s) a partir da(s) qual(is) a regra foi criada
• tlp — classificação de compartilhamento

Os valores são cadeias de texto, inteiros ou valores booleanos. Trate meta como documentação: a próxima pessoa responsável pela resposta dependerá dela.

A seção strings define identificadores (que começam com $) associados a padrões. A forma mais simples é uma cadeia de texto entre aspas.

Os modificadores refinam a correspondência:

• nocase — não diferencia maiúsculas de minúsculas
• wide — UTF-16 (dois bytes por caractere, comum no Windows)
• ascii — ASCII (padrão; combine com wide para corresponder a ambos)
• fullword — corresponde apenas a uma palavra inteira

Para padrões binários, use uma cadeia hexadecimal entre chaves. Elas correspondem a bytes brutos, ideais para códigos de operação, números mágicos e estruturas.

As cadeias hexadecimais oferecem flexibilidade:

• ?? — curinga para meio byte ou byte
• [n-m] — um salto de n a m bytes arbitrários
• ( A | B ) — alternativas

YARA é compatível com padrões de expressões regulares delimitados por barras, com os mesmos modificadores das cadeias de texto. Use expressões regulares quando um padrão variar, mas seguir uma estrutura, como um marcador de configuração ou um nome de objeto de exclusão mútua gerado.

Expressões regulares são poderosas, mas custosas; prefira cadeias fixas ou hexadecimais quando possível e delimite bem as expressões regulares para evitar varrer o arquivo inteiro.

condition é uma expressão booleana que decide uma correspondência. Faça referência diretamente aos identificadores de cadeias de texto; um $a isolado é verdadeiro se a cadeia de texto tiver sido encontrada.

Combine com and, or, not e parênteses. É aqui que você codifica a lógica que separa uma detecção real da família de uma coincidência.

YARA oferece quantificadores expressivos para conjuntos de cadeias de texto:

• any of them / all of them
• 2 of ($s*) — pelo menos duas de um grupo
• #a > 3 — a contagem de correspondências de $a excede 3

Isso permite exigir, por exemplo, três de cinco marcadores da família, equilibrando a sensibilidade e os falsos positivos.

As condições podem fazer referência a onde uma correspondência ocorre e ao tamanho do arquivo:

• $a at 0 — a correspondência deve estar no deslocamento 0
• $a in (0..1024) — dentro de um intervalo de bytes
• filesize — tamanho total, por exemplo, filesize < 200KB
• uint16(0) == 0x5A4D — lê um inteiro em um deslocamento (aqui, o cabeçalho MZ)

Ancorar as correspondências a uma posição reduz drasticamente os falsos positivos e acelera a varredura.

Os módulos de YARA expõem dados estruturados e específicos do formato, permitindo que as condições analisem campos processados em vez de bytes brutos.

• pe — imports de PE, seções, ponto de entrada, assinaturas, imphash
• hash — calcula md5/sha256 de regiões
• math — entropy e estatísticas
• elf, dotnet, magic

Importar pe, por exemplo, permite fazer correspondências com funções importadas ou com um imphash específico, de forma muito mais robusta do que usando uma cadeia literal.

Para obter uma lógica mais rica, YARA oferece laços sobre coleções com for. Você pode expressar condições como pelo menos dois desses deslocamentos satisfazem uma propriedade ou qualquer nome de seção corresponde a um padrão.

Isso é essencial ao trabalhar com dados de módulos, como seções de PE ou imports, quando é necessário inspecionar uma lista de tamanho variável em vez de um único valor.

As palavras-chave no nível da regra organizam um conjunto de regras:

• global rule — sua condição controla todas as outras regras no arquivo (por exemplo, verifica apenas arquivos PE)
• private rule — bloco reutilizável, não é reportado por si só, mas pode ser referenciado por outras regras
• etiquetas após o nome da regra classificam as detecções (por exemplo, para filtrar a saída)

Analise a robustez de uma condição.

A sintaxe de regras YARA em uma visão geral:

• Uma regra = meta + strings + condition
• Cadeias de texto com os modificadores sem distinção entre maiúsculas e minúsculas, formato amplo, ASCII e palavra inteira
• Cadeias hexadecimais com curingas ??, saltos [n-m] e alternativas
• Expressões regulares para padrões variáveis estruturados (use com moderação)
• condition combina cadeias de texto com e/ou/não
• Quantificadores: qualquer/todos/N de, além da contagem #a
• Ancoragem: at, in, tamanho do arquivo e leituras de uint
• Módulos (PE, resumos e matemática) fazem correspondências com dados estruturados e imphash
• global, private e etiquetas organizam conjuntos de regras

A seguir: busca prática com cadeias de texto e hexadecimal.