YARA-Regeln sind textbasierte Muster, die Malware-Familien oder verdächtige Dateien anhand ihrer Zeichenketten, Bytefolgen und Struktur beschreiben, sodass passende Samples automatisch gefunden werden.
Wie YARA-Regeln funktionieren
YARA ist ein Open-Source-Werkzeug, das Victor Alvarez von VirusTotal entwickelt hat und das oft als „Schweizer Taschenmesser der Mustererkennung für Malware-Forscher“ bezeichnet wird. Jede Regel besteht aus drei Teilen:
- meta – beschreibende Angaben wie Autor, Datum und Malware-Familie;
- strings – Text, hexadezimale Bytemuster (mit Platzhaltern) oder reguläre Ausdrücke;
- condition – ein boolescher Ausdruck, etwa „mindestens drei dieser Strings und die Datei ist kleiner als 500 KB“.
Module erweitern die Sprache: Die Module pe und elf lesen Header, Importe und Sektionen ausführbarer Dateien, das Modul hash berechnet Prüfsummen. Regeln können Dateien auf der Festplatte, Prozessspeicher oder ganze Sample-Sammlungen durchsuchen. VirusTotal pflegt außerdem YARA-X, eine Neuimplementierung der Engine in Rust.
Wie YARA-Regeln eingesetzt werden
YARA ist ein Standard der signaturbasierten Erkennung jenseits klassischer Antivirenprodukte. Forschende veröffentlichen Regeln zusammen mit Bedrohungsberichten als Indicators of Compromise, damit Verteidiger prüfen können, ob eine bestimmte Malware-Familie in ihrer Umgebung vorhanden ist. Typische Einsatzzwecke:
- Klassifizieren von Samples und Verfolgen von Malware-Familien in der Threat Intelligence;
- Retro-Hunting – Durchsuchen von Archiven alter Samples nach neuen Indikatoren;
- Scannen von Endpunkten und Speicherabbildern bei Incident Response und Threat Hunting;
- Erkennung in Sandboxes, E-Mail-Gateways und EDR-Produkten mit YARA-Unterstützung.
Best Practices
- Regeln auf eindeutige, stabile Merkmale stützen statt auf leicht änderbare Strings.
- Neue Regeln gegen große Mengen sauberer Dateien testen, um Fehlalarme zu vermeiden.
- Regeln versionieren und dokumentieren und mit Verhaltenserkennung kombinieren, da Packer und Obfuskation statische Muster aushebeln.
