Realizando Triagem de Malware com YARA

Quando Usar

• Classificar rapidamente um grande lote de amostras de malware contra assinaturas de famílias conhecidas
• Escrever regras de detecção para uma família de malware recém-analisada com base em padrões de bytes únicos
• Escanear compartilhamentos de arquivos, endpoints ou dumps de memória em busca de indicadores de uma ameaça específica
• Construir pipelines de triagem automatizados que classificam amostras antes da análise manual
• Caçar variantes de uma ameaça conhecida em uma empresa usando scans YARA

Não use como o único método de análise; a triagem YARA identifica padrões conhecidos, mas não revela comportamentos de malware novos ou desconhecidos.

Pré-requisitos

• YARA 4.x instalado (apt install yara ou pip install yara-python)
• Repositórios de regras YARA (YARA-Rules, awesome-yara, regras Malpedia, signature-base de Florian Roth)
• Python 3.8+ com yara-python para escaneamento com script
• Coleção de amostras organizada em uma estrutura de diretórios para escaneamento em lote
• Compreensão do formato de arquivo PE, padrões hexadecimais e expressões regulares para escrita de regras

Fluxo de Trabalho

Etapa 1: Escanear Amostras com Conjuntos de Regras Existentes

Aplique regras YARA comunitárias e comerciais para classificar amostras:

# Scan a single file
yara -s malware_rules.yar suspect.exe

# Scan a directory of samples
yara -r malware_rules.yar /path/to/samples/

# Scan with multiple rule files
yara -r rules/apt_rules.yar rules/ransomware_rules.yar rules/trojan_rules.yar suspect.exe

# Scan with timeout (prevent hanging on large files)
yara -t 30 malware_rules.yar suspect.exe

# Scan and show matching strings
yara -s -r malware_rules.yar suspect.exe

# Scan with compiled rules (faster for repeated scans)
yarac malware_rules.yar compiled_rules.yarc
yara compiled_rules.yarc suspect.exe

# Download community rule sets
git clone https://github.com/Yara-Rules/rules.git yara-community-rules
git clone https://github.com/Neo23x0/signature-base.git signature-base

# Scan with signature-base
yara -r signature-base/yara/*.yar suspect.exe

Etapa 2: Escrever Regras para Padrões de String Únicos

Crie regras YARA com base em strings extraídas durante a análise de malware:

rule MalwareX_Strings {
    meta:
        description = "Detects MalwareX based on unique strings"
        author = "analyst"
        date = "2025-09-15"
        reference = "Internal Analysis Report #1547"
        hash = "e3b0c44298fc1c149afbf4c8996fb924"
        tlp = "WHITE"

    strings:
        // C2 URL pattern
        $url1 = "/gate.php?id=" ascii
        $url2 = "/panel/connect.php" ascii

        // Unique mutex name
        $mutex = "Global\\CryptLocker_2025" ascii wide

        // User-Agent string
        $ua = "Mozilla/5.0 (compatible; MSIE 10.0)" ascii

        // Registry persistence path
        $reg = "Software\\Microsoft\\Windows\\CurrentVersion\\Run\\WindowsUpdate" ascii

        // Campaign identifier
        $campaign = "campaign_2025_q3" ascii

    condition:
        uint16(0) == 0x5A4D and      // PE file (MZ header)
        filesize < 500KB and          // Size constraint
        ($url1 or $url2) and          // At least one C2 URL
        ($mutex or $campaign) and     // Campaign identifier
        $ua                           // Specific User-Agent
}

Etapa 3: Escrever Regras para Padrões de Bytes

Crie regras que correspondam a sequências de código específicas:

rule MalwareX_Decryptor {
    meta:
        description = "Detects MalwareX XOR decryption routine"
        author = "analyst"
        date = "2025-09-15"

    strings:
        // XOR decryption loop (x86 assembly)
        // mov al, [esi+ecx]
        // xor al, [edi+ecx]
        // mov [esi+ecx], al
        // inc ecx
        // cmp ecx, edx
        // jl loop
        $xor_loop = { 8A 04 0E 32 04 0F 88 04 0E 41 3B CA 7C F3 }

        // RC4 KSA initialization (256-byte loop)
        $rc4_ksa = { 33 C0 88 04 ?8 40 3D 00 01 00 00 7? }

        // Embedded RSA public key marker
        $rsa_key = { 06 02 00 00 00 A4 00 00 52 53 41 31 }  // PUBLICKEYBLOB

    condition:
        uint16(0) == 0x5A4D and
        ($xor_loop or $rc4_ksa) and
        $rsa_key
}

Etapa 4: Escrever Regras com o Módulo PE

Utilize o módulo PE do YARA para detecção estrutural:

import "pe"
import "hash"
import "math"

rule MalwareX_PE_Characteristics {
    meta:
        description = "Detecta MalwareX por estrutura PE e imports"
        author = "analista"

    condition:
        pe.is_pe and

        // Compilado dentro de um período específico

…