YARA — це інструмент, який в основному використовується для дослідження та виявлення шкідливих програм.
Він забезпечує підхід на основі правил для створення описів сімейств шкідливих програм на основі регулярних виразів, текстових або бінарних шаблонів. Опис, по суті, є назвою правила YARA, де ці правила складаються з наборів рядків та логічного виразу.
Аналітики пишуть правила YARA для фіксації ДНК сімейств шкідливих програм, стійких елементів, таких як фрагменти коду, рядки конфігурації та структурні шаблони, виражені у вигляді тексту, шістнадцяткових послідовностей або регулярних виразів з булевою логікою. Це виявлення на основі сигнатур витримує мутації файлів, які перешкоджають зіставленню геш-значень, що дозволяє ідентифікувати варіанти та пов'язані зразки у великих наборах даних.
Історія YARA була спочатку розроблена Віктором Альваресом з VirusTotal та випущена на GitHub у 2013 році. Назва є скороченням від YARA: Another Recursive Acronym (Ще один рекурсивний акронім) або Yet Another Ridiculous Acronym (Ще один смішний акронім). У 2024 році Альварес оголосив, що YARA буде замінена переписаною версією під назвою YARA-X, написаною на Rust. Перша стабільна версія YARA-X була випущена в червні 2025 року, що ознаменувало перехід оригінального YARA в .
Конструкція За замовчуванням YARA постачається з модулями для обробки PE, аналізу ELF, а також підтримує пісочницю з відкритим кодом Cuckoo.
Правила опису Фреймворк Yara реалізує розпізнавання образів, яке можна визначити у вигляді простих правил.rule YaraArticle { strings: $a = "Wikipedia" $b = "wiki" $c = "YARA" condition: all of them }Це правило, яке тут називається YaraArticle, шукає три рядки: «Wikipedia», «wiki» та «YARA». Аналогічно, фреймворк можна використовувати для пошуку шкідливого програмного забезпечення, оскільки він підтримує двійкові шаблони на додаток до тексту.
Це дозволяє будь-кому створювати власні правила і, таким чином, у контексті антивірусних сканерів, створювати власні сигнатури. Наприклад, за допомогою ClamAV з відкритим кодом достатньо скопіювати власні правила Yara як файли в папку сигнатур — ClamAV також ідентифікуватиме файли, що відповідають правилу, як шкідливі програми.
Використання YARA є стандартом де-факто для вираження шаблонів, характерних для варіанта шкідливого програмного забезпечення. Репозиторії з правилами YARA, як відкриті, так і комерційні, швидко оновлюються. Правила YARA досліджуються для виявлення прогалин і перетворення розрізнених внесків у цілісну екосистему. Запропоновані методи автоматичної генерації правил на основі машинного навчання.
Критика Хоча YARA вбудована в численні програми та має виявляти шкідливе програмне забезпечення за допомогою правил Yara, зрештою вони є не що інше, як регулярні вирази і тому неефективні проти поліморфних атак, включаючи поліморфні фішингові атаки. Крім того, рушій YARA погано масштабується при зростанні кількості зразків шкідливого ПЗ, що і стало причиною створення YARA-X.
Див. також
Snort
Примітки
Посилання
YARA documentation