1. Overview
1.1 Origin of name
VirusTotal Software Engineer인 Victor M. Alvarez의 트윗에 따르면 YARA의 Full name은 다음과 같다.
"YARA is an ancronym for:
YARA: Another Recursive Ancronym, or Yet Another Ridiculous Acronym. Pick your choice." |
Yet Another Recursive Acronym 또는 Yet Another Ridiculous Acronym 이다[1][2].
2. About YARA
2.1 Features of yara
yara의 특징은 다음과 같다[3].
º 텍스트 기반 또는 바이너리 패턴을 기반으로 Malware 변종(malware families)에 대한 탐지를 제공
º 16진수 문자열, 텍스트 문자열, 정규 표현식 (Regular Expression) 을 지원
º PE, ELF 분석을 처리하는 모듈과 함께 오픈 소스 Cuckoo 샌드박스를 지원
Rules을 작성하는 기준에 대한 가이드는 다음과 같다[4].
º Rules에 Hit 되는 기준은 악성코드의 동작에 필요한 부분이여아 함
º 작성한 Rules는 기준 악성코드와 변종 악성코드 패밀리를 구별할 수 있을정도로 충분해야함
º 작성한 Rules는 다른 악성코드들 사이에서 일반적으로 통해야 한다(common across).
2.2 Get rules from external sources
YaraRules Github에서는 다양한 Rule set을 제공한다. rules는 Anti-Debug 및 Anti-Visualization techniques, 악성 문서, 패커 등을 탐지하기위한 규칙이 있다[5].
또한
VirusTotal, ThreatConnect 등과 같은 위협 정보 공유 플랫폼(Threat Intelligence
sharing platforms)들이 YARA를 지원한다. 이를 통해 수집한 위협 정보를 기반으로 Rules를 작성할 수
있다[6][7].
VirusTotal의 경우 개인 API로 자신의 Rules를 입력하고 Hit 되는 샘플이 업로드 될 때 notice 해준다.
[그림 1]은 위협 정보 공유 플랫폼에서 지원하는 YARA 화면이다.
[그림 1] VirusTotal and ThreatConnect
2.3 Automatically generate rules
yara rules를 작성하는 일을 자동화 해주는 경우는 다음과 같다.
º Joe Sandbox[8]
- https://www.joesandbox.com/yaraspaged/
- Joe Sandbox에서는 동적 분석 결과를 바탕으로 Windows용 Signature를 제작할 수 있음
- 무료 온라인 샌드박스 (VirusTotal, Hybrid-Analysis, Malwr 등)과 호환
º Hyara[9]
- https://github.com/hy00un/Hyara
- 정적 분석 단계에서의 YARA 제작의 편의성을 극대화한 강력한 IDA Plug-in
2.4 Make yara rules
2.4.1 Strings 문법
º wide : Unicode와 같은 2바이트 문자를 한 글자로 검색할 때 사용
º ascii : ascii 문자열 형식 검색 (wide와 함께 사용할 경우 순서 상관없음)
º nocase : 대/소문자 구분하지 않음
º fullword : 문자열을 하나의 문자열로 취급 (?)
<코드 분석 이후 yara 제작과 함께 상세한 내용 작성 예정>
<yara import 추가>
<yara 문법 추가>
N. Conclusions
암호화,
패킹, 다형성 등 우회가 비교적 쉬운 시그니처 기반 탐지에 대한 문제점들이 제시되고 있지만 여전히 YARA는 강력한 시그니처
기반 탐지 도구이다. 탐지 방안에 있어서 단독으로 사용하기는 무리가 있지만 다양한 탐지 도구들과 함께 병행하면 문제가 없다고
생각하며, 자동화 도구를 활용하여 높은 능률을 보장 받을 수 있다고 생각한다.
N. Related Reports
(1) https://github.com/VirusTotal/yara
(2) https://yara.readthedocs.io/en/v3.8.1/
(3) https://yararules.com/
(4) https://github.com/Yara-Rules/rules
(5) https://twitter.com/yararules
N. References
[1] https://twitter.com/plusvic/status/778983467627479040
[2] https://github.com/VirusTotal/yara/issues/58
[3] https://yara.readthedocs.io/en/v3.5.0/index.html
[4] https://securityintelligence.com/signature-based-detection-with-yara/
[5] https://github.com/Yara-Rules/rules
[6] https://www.virustotal.com/
[7] https://threatconnect.com/
[8] https://www.joesecurity.org/blog/8938263704094453988
[9] https://github.com/hy00un/Hyara
