YARA-правила — текстові шаблони, що описують родини шкідливого ПЗ або підозрілі файли за рядками, послідовностями байтів і структурою, щоб відповідні зразки знаходилися автоматично.
Як працюють YARA-правила
YARA — open-source-інструмент, створений Віктором Альваресом (Victor Alvarez) з VirusTotal; його часто називають «швейцарським ножем для пошуку за шаблонами» для дослідників шкідливого ПЗ. Кожне правило складається з трьох частин:
- meta — описова інформація: автор, дата, родина шкідливого ПЗ;
- strings — текст, шістнадцяткові шаблони байтів (із символами підстановки) або регулярні вирази;
- condition — логічний вираз, наприклад «щонайменше три з цих рядків і розмір файлу менше 500 КБ».
Мову розширюють модулі: pe та elf розбирають заголовки, імпорти й секції виконуваних файлів, а hash обчислює контрольні суми. Правилами можна сканувати файли на диску, пам’ять процесів або цілі колекції зразків. VirusTotal також розвиває YARA-X — рушій, переписаний мовою Rust.
Як використовують YARA-правила
YARA стала стандартом сигнатурного виявлення поза межами класичних антивірусів. Дослідники публікують правила разом зі звітами про загрози як індикатори компрометації, щоб захисники могли перевірити, чи є в їхній інфраструктурі конкретна родина шкідливого ПЗ. Типові сценарії:
- класифікація зразків і відстеження родин шкідливого ПЗ у кіберрозвідці;
- ретрохантинг — пошук в архівах старих зразків за новими індикаторами;
- сканування робочих станцій і дампів пам’яті під час реагування на інциденти та threat hunting;
- виявлення в пісочницях, поштових шлюзах і EDR-продуктах із підтримкою YARA.
Рекомендації
- Спиратися на унікальні та стабільні ознаки, а не на рядки, які легко змінити.
- Перевіряти нові правила на великих наборах чистих файлів, щоб уникнути хибних спрацьовувань.
- Версіонувати й документувати правила та поєднувати їх із поведінковим аналізом, адже пакувальники й обфускація обходять статичні шаблони.
