Las reglas YARA son patrones en texto que describen familias de malware o archivos sospechosos por sus cadenas, secuencias de bytes y estructura, para localizar automáticamente las muestras que coinciden.
Cómo funcionan las reglas YARA
YARA es una herramienta de código abierto creada por Victor Alvarez, de VirusTotal, y a menudo descrita como «la navaja suiza de búsqueda de patrones para investigadores de malware». Cada regla tiene tres partes:
- meta: información descriptiva como autor, fecha y familia de malware;
- strings: texto, patrones de bytes hexadecimales (con comodines) o expresiones regulares;
- condition: una expresión booleana, por ejemplo «al menos tres de estas cadenas y el archivo ocupa menos de 500 KB».
Los módulos amplían el lenguaje: pe y elf analizan cabeceras, importaciones y secciones de ejecutables, y hash calcula sumas de comprobación. Las reglas pueden analizar archivos en disco, la memoria de procesos o colecciones enteras de muestras. VirusTotal mantiene además YARA-X, una reescritura del motor en Rust.
Cómo se usan las reglas YARA
YARA es un estándar de la detección basada en firmas fuera del antivirus tradicional. Los investigadores publican reglas junto con sus informes de amenazas como indicadores de compromiso, para que los defensores comprueben si una familia concreta de malware está presente en su entorno. Usos habituales:
- clasificar muestras y seguir familias de malware en inteligencia de amenazas;
- retro-hunting: buscar nuevos indicadores en archivos de muestras antiguas;
- analizar endpoints y volcados de memoria durante la respuesta a incidentes y el threat hunting;
- detección en sandboxes, pasarelas de correo y productos EDR compatibles con YARA.
Buenas prácticas
- Basar las reglas en rasgos únicos y estables, no en cadenas fáciles de cambiar.
- Probar las reglas nuevas con grandes conjuntos de archivos limpios para evitar falsos positivos.
- Versionar y documentar las reglas y combinarlas con detección de comportamiento, ya que los empaquetadores y la ofuscación burlan los patrones estáticos.
