> THREAT_HUNTING.INIT("YARA");

YARA Rules

YARA — это инструмент, предназначенный (но не ограничивающийся этим) для помощи исследователям вредоносного ПО в идентификации и классификации образцов. С помощью YARA вы можете создавать правила, основанные на текстовых или бинарных шаблонах.

Text Strings

Поиск конкретных строк, путей к файлам или сообщений об ошибках внутри исполняемых файлов.

> status: string_matching

Hex Patterns

Использование шестнадцатеричных последовательностей для поиска специфических байт-кодов и опкодов.

> sequence: verified

Conditions

Использование логических выражений для объединения правил и уточнения условий срабатывания.

> logic: complex

YARA Rule Example:

rule MalwareExample {
    strings:
        $string_1 = "bad_server.com"
        $string_2 = { E2 34 ?? C8 A1 }
    condition:
        $string_1 or $string_2
}

Практика: Написание и использование правил

1. Установка YARA

Для начала работы установим YARA в Linux (Ubuntu/Kali):

> sudo apt update && sudo apt install yara -y

2. Создание правила

Создадим правило для поиска строки "cmd.exe" и специфического заголовка MZ (Portable Executable):

rule Detect_CMD_Access {
    meta:
        description = "Обнаружение доступа к cmd.exe в файле"
        author = "CyberSec Student"
    
    strings:
        $cmd = "cmd.exe" nocase
        $mz = { 4D 5A } // Сигнатура PE-файла
    
    condition:
        $mz at 0 and $cmd
}

3. Запуск сканирования

Теперь запустим YARA для проверки файлов в директории:

# Сканирование одного файла
> yara my_rule.yar target_file.exe

# Рекурсивное сканирование директории
> yara -r my_rule.yar /home/user/downloads

Advanced Features: