Escaneando un binario contra el diccionario de reglas YARA

Question

Escaneando un binario contra el diccionario de reglas YARA

#1 de Daisetsu (1 votos)

2

He encontrado un binario de malware, que tengo curiosidad por ver qué patrones se han encontrado en este archivo. También tengo una colección de ~ 1000 ioc's y yara-rule's relacionadas con Malwares y RAT's. He utilizado Loki , yara- gui , la yara64 (no recuerdo la fuente del enlace) en sí misma y Algunas otras herramientas, pero ninguna de ellas, son capaces de escanear múltiples reglas contra un solo archivo. Ya escribí un código Python simple (escanea varias veces, no es complicado) y es muy lento y desordenado:

import os

rules = raw_input("Rules Folder: ")
mal = raw_input("Malicious File: ")
paths = [os.path.join(rules,fn) for fn in next(os.walk(rules))[2]]

for i in range(0,len(paths)):
    os.system('yara64.exe "'+paths[i]+'" "'+mal+'" --no-warnings -f -e -m >> output.txt')

Entonces, ¿cómo escaneas tu muestra contra múltiples yara-rule? cualquier herramienta específica o pública (gratuita / de pago) o script que es eficiente?

malware static-analysis python scan yara

pregunta Aiden Stewart 28.10.2018 - 09:00

fuente

1 respuesta

Lea otras preguntas en las etiquetas malware static-analysis python scan yara

No se puede iniciar sesión en dvwa con un programa Python simple, aunque las credenciales de inicio de sesión son buenas ¿Cómo mitigar las consecuencias de ser rastreado por fingerprint2.js?

score 1 · Answer 1

YARA le permite especificar múltiples archivos de reglas para ser utilizados (como la última versión).

yara64.exe path/rule/file1 path/rule/file2 path/rule/file3 malwareFile

No sé cuál es el límite al número de rutas de archivo de reglas que puede especificar en una sola invocación de YARA, pero esto debería facilitar considerablemente la secuencia de comandos.