YARA-правила — текстовые шаблоны, которые описывают семейства вредоносного ПО или подозрительные файлы по строкам, последовательностям байтов и структуре, чтобы подходящие образцы находились автоматически.
Как работают YARA-правила
YARA — open-source-инструмент, созданный Виктором Альваресом (Victor Alvarez) из VirusTotal; его часто называют «швейцарским ножом для поиска по шаблонам» для исследователей вредоносного ПО. Каждое правило состоит из трёх частей:
- meta — описательная информация: автор, дата, семейство вредоноса;
- strings — текст, шестнадцатеричные шаблоны байтов (с подстановочными символами) или регулярные выражения;
- condition — логическое выражение, например «не менее трёх из этих строк и размер файла меньше 500 КБ».
Язык расширяется модулями: pe и elf разбирают заголовки, импорты и секции исполняемых файлов, а hash вычисляет контрольные суммы. Правилами можно сканировать файлы на диске, память процессов или целые коллекции образцов. VirusTotal также развивает YARA-X — движок, переписанный на Rust.
Как используются YARA-правила
YARA стала стандартом сигнатурного обнаружения за пределами классических антивирусов. Исследователи публикуют правила вместе с отчётами об угрозах как индикаторы компрометации, чтобы защитники могли проверить, есть ли в их инфраструктуре конкретное семейство вредоносного ПО. Типичные сценарии:
- классификация образцов и отслеживание семейств вредоносов в киберразведке;
- ретро-хантинг — поиск по архивам старых образцов с новыми индикаторами;
- сканирование рабочих станций и дампов памяти при реагировании на инциденты и threat hunting;
- обнаружение в песочницах, почтовых шлюзах и EDR-продуктах с поддержкой YARA.
Рекомендации
- Опираться на уникальные и устойчивые признаки, а не на легко изменяемые строки.
- Проверять новые правила на больших наборах чистых файлов, чтобы избежать ложных срабатываний.
- Версионировать и документировать правила и сочетать их с поведенческим анализом, ведь упаковщики и обфускация обходят статические шаблоны.
