Для чего нужен YARA

YARA — это инструмент и язык правил для идентификации и классификации файлов и памяти по шаблонам. Аналитики называют его универсальным инструментом сопоставления шаблонов при исследовании вредоносных программ.

Правило YARA описывает текстовые или двоичные шаблоны и логическое условие; движок сканирует цели и сообщает о совпадениях. Оно превращает результаты работы аналитика в пригодное для повторного использования автоматизированное обнаружение.

YARA дополняет сетевые IDS, а не заменяет их.

• Snort/Suricata проверяют трафик в сети.
• YARA проверяет содержимое на хранении или в памяти: файлы на диске, память процессов, вложения электронной почты, содержимое архивов.

IDS может обнаружить загрузку во время передачи, а YARA — то же семейство в изолированном образце, криминалистическом образе или работающем процессе, даже если оно никогда не проходило по контролируемому каналу.

Один из основных вариантов использования YARA — классификация семейств. Авторы вредоносных программ повторно используют код, строки, ключи шифрования и мьютексы в разных сборках. Правило YARA фиксирует эти общие признаки, поэтому все варианты семейства соответствуют одному правилу, даже если хеши меняются при каждой повторной компиляции.

Это делает YARA устойчивой там, где обнаружение по хешу не работает: изменение одного байта нарушает совпадение хеша, но не мешает правильно составленному правилу по шаблону.

Упакованные и обфусцированные вредоносные программы скрывают настоящий код на диске, но для работы должны распаковаться в памяти. Сканирование памяти работающего процесса или дампа памяти с помощью YARA обнаруживает строки и структуры, невидимые в упакованном файле.

Поэтому специалисты по реагированию на инциденты сканируют RAM с помощью YARA: расшифрованная конфигурация, адреса серверов управления и управления и полезная нагрузка появляются в памяти, даже если образец на диске полностью обфусцирован.

YARA интегрируется с различными компонентами системы безопасности:

• Агенты EDR сканируют конечные устройства с помощью общих наборов правил
• Песочницы (Cuckoo, CAPE) классифицируют запущенные образцы
• Почтовые и веб-шлюзы проверяют вложения и загрузки
• Платформы анализа угроз выполняют поиск в хранилищах образцов
• Криминалистические инструменты сканируют образы дисков и дампы памяти

Один формат правил и множество точек применения — именно за такую переносимость инженеры по обнаружению особенно ценят YARA.

Платформы вроде VirusTotal позволяют запускать правило YARA на их историческом наборе данных; такая практика называется ретроспективным поиском. Напишите правило для недавно обнаруженного семейства, выполните ретроспективный поиск и найдите старые образцы, связанные варианты и хронологию кампании.

Так один образец превращается в сведения об истории инструментов злоумышленника и повторном использовании его инфраструктуры.

В простейшем случае CLI YARA получает файл правил и цель. При каждом совпадении он выводит имя правила и совпавший файл.

Возможности YARA требуют дисциплины. Плохо написанное правило создаёт проблемы в больших масштабах.

• Слишком широкое -> ложные срабатывания захлёстывают аналитиков и могут привести к помещению безопасных файлов в карантин
• Слишком специфичное -> обнаруживает один образец, но пропускает семейство
• Слишком медленное -> сложные регулярные выражения или слишком маленькие атомы замедляют сканирование всего парка

Цель — правила, достаточно специфичные для надёжности, достаточно общие для обнаружения вариантов и достаточно эффективные для запуска повсюду.

Сопоставляйте признаки, которые автор вряд ли сможет или захочет дёшево изменить:

• Пользовательские алгоритмы шифрования и уникальные константы
• Характерные фрагменты кода и логика распаковки
• Жёстко заданные имена мьютексов, идентификаторы клиентов или пути PDB
• Структурные аномалии в формате файла

Избегайте сопоставления с обобщёнными строками библиотек или артефактами компилятора, общими для тысяч безопасных программ: они создают шум и легко изменяются.

Переносимость YARA превращает правила в общий язык защитников. Подготовленные открытые и коммерческие коллекции позволяют начать работу, не создавая каждое правило с нуля.

• Репозиторий сообщества YARA-Rules и исследовательские блоги поставщиков
• signature-base Florian Roth, широко используемый при реагировании на инциденты
• Каналы ISAC и поставщиков с правилами для семейств и APT

Проверяйте сторонние правила до развёртывания: оценивайте риск ложных срабатываний, помещайте их в отдельные пространства имён во избежание конфликтов и проверяйте на наборе безопасных образцов, поскольку непроверенное внешнее правило может создавать шум в Вашей среде.

YARA — не универсальное решение.

• Она сопоставляет шаблоны, а не поведение, и не запускает образец
• Сильная упаковка или шифрование на диске может скрыть всё до сканирования памяти
• Полиморфный и метаморфный код может обойти статические строки
• Получившие Ваши правила злоумышленники могут адаптироваться к ним

Используйте YARA как один из уровней защиты наряду с обнаружением по поведению, песочницами и мониторингом сети, а не как самостоятельную защиту.

YARA сопоставляет шаблоны в файлах и памяти:

• Она классифицирует и идентифицирует содержимое на хранении или в памяти, дополняя сетевые IDS
• Она обнаруживает семейства вредоносных программ по общим признакам и устойчива к изменениям хешей
• Сканирование памяти выявляет распакованный код, который пропускает статический анализ
• Она работает в EDR, песочницах, шлюзах и криминалистических инструментах
• Ретроспективный поиск превращает один образец в сведения о кампании
• Хорошие правила специфичны, обобщаемы и эффективны; сопоставляйте устойчивые признаки
• YARA сопоставляет шаблоны, а не поведение, поэтому используйте её как один из уровней защиты

Далее: сам синтаксис правил.