Realizando Caça a Ameaças com Regras YARA

Escaneie arquivos, diretórios e dumps de memória usando regras YARA para identificar famílias de malware, padrões suspeitos e correspondências de IOCs.

Quando Usar

• Caça proativa a variantes de malware desconhecidas em compartilhamentos de rede, endpoints e anexos de e-mail
• Escaneamento de diretórios de quarentena ou saídas de sandbox para classificação de famílias de malware
• Busca em dumps de memória de processos por código injetado ou payloads apenas em memória
• Validação de IOCs de inteligência de ameaças contra um grande corpus de amostras coletadas
• Triagem de artefatos de resposta a incidentes para identificar rapidamente famílias de malware conhecidas
• Construção de pipelines de detecção automatizada que escaneiam novos arquivos na ingestão

Não use para proteção de endpoint em tempo real (use agentes EDR em vez disso); a varredura YARA é mais adequada para caça em lote, triagem e análise pós-coleta, onde a latência da varredura é aceitável.

Pré-requisitos

• YARA 4.x instalado (apt install yara no Debian/Ubuntu, brew install yara no macOS)
• Python 3.8+ com yara-python (pip install yara-python)
• yarGen para geração automatizada de regras (git clone https://github.com/Neo23x0/yarGen)
• Corpus de amostras de malware ou arquivos suspeitos para escaneamento (de malware zoos, VT ou artefatos de incidentes)
• Opcional: pefile para análise de cabeçalho PE, malduck para carving de memória
• Conjuntos de regras YARA de inteligência de ameaças (por exemplo, repositório da comunidade YARA-Rules, Florian Roth signature-base)

Fluxo de Trabalho

Etapa 1: Instalar YARA e Bindings Python

# Linux
sudo apt update && sudo apt install -y yara

# Python bindings
pip install yara-python

# Verify installation
yara --version
python3 -c "import yara; print(yara.YARA_VERSION)"

Etapa 2: Escrever uma Regra YARA Básica

Crie regras que correspondam a strings, padrões hexadecimais e metadados de arquivo:

// File: rules/emotet_loader.yar
rule Emotet_Loader_2026 {
    meta:
        author = "Threat Intel Team"
        description = "Detects Emotet first-stage loader DLL"
        date = "2026-01-20"
        reference = "https://attack.mitre.org/software/S0367/"
        mitre_attack = "T1059.001, T1055.001"
        severity = "critical"

    strings:
        // Emotet export function name patterns
        $export1 = "DllRegisterServer" ascii
        $export2 = "RunDLL" ascii nocase

        // Obfuscated string decryption routine
        $decrypt_loop = { 8B 45 ?? 33 45 ?? 89 45 ?? 8B 4D ?? 03 4D ?? }

        // PowerShell download cradle in embedded script
        $ps_cradle = /powershell[^\n]{0,50}-e(nc|ncodedcommand)/i

        // Known C2 URI patterns
        $uri1 = "/wp-content/uploads/" ascii
        $uri2 = "/wp-admin/css/" ascii
        $uri3 = "/wp-includes/" ascii

        // PE characteristics
        $mz = "MZ" at 0

    condition:
        $mz and
        filesize < 2MB and
        (
            ($export1 and $decrypt_loop) or
            ($ps_cradle and any of ($uri*)) or
            (2 of ($uri*) and $decrypt_loop)
        )
}

Etapa 3: Escrever Regras Avançadas com Módulos

Use módulos YARA para inspeção de cabeçalho PE e verificações de entropia baseadas em matemática:

import "pe"
import "math"

rule Suspicious_Packed_Executable {
    meta:
        author = "Threat Hunting Team"
        description = "Detects PE files with high entropy sections indicating packing or encryption"
        severity = "medium"

    condition:
        pe.is_pe and
        pe.number_of_sections > 0 and
        for any section in pe.sections : (
            math.entropy(section.offset, section.size) > 7.2 and
            section.size > 1024
        ) and
        pe.imports("kernel32.dll", "VirtualAlloc") and
        pe.imports("kernel32.dll", "VirtualProtect")
}

rule Suspicious_UPX_Modified {
    meta:
        description = "Detects UPX-packed binaries with tampered section names"
        severity = "medium"

    strings:
        $upx_magic = { 55 50 58 21 }  // UPX!

    condition:
        pe.is_pe and
        $upx_magic and
        not (
            pe.sections[0].name == "UPX0" and
            pe.sections[1].name == "UPX1"
        )
}

Etapa 4: Escanear Arquivos e Diretórios com yara-python

import yara
import os
import json
from datetime import datetime
from pathlib import Path

def compile_rules(rule_paths):
    """Compila regras YARA de um ou mais arquivos .yar."""
    rule_files = {}
    for i, path in enumerate(rule_paths):
        namespace = Path(path).stem
        rule_files[namespace] = path
    return yara.compile(filepaths=rule_files)


…