使用yarGen提取Linux恶意脚本特征

Linux下的恶意软件多为sh脚本，且由于使用的命令大同小异（均为下载文件、运行进程、创建定时任务、写ssh后门等操作），经常难以分辨恶意sh脚本是属于哪个病毒家族的。遇到这种情况，使用yara规则对恶意脚本进行检测分类是个不错的选择，本文将介绍如何借助yargen实现对Linux恶意脚本特征的半自动化提取。

什么yarGen？

yargen是一个自动化提取yara规则的工具，可以提取strings和opcodes特征，其原理是先解析出样本集中的共同的字符串，然后经过白名单库的过滤，最后通过启发式、机器学习等方式筛选出最优的yara规则，奇热项目地址：https://github.com/Neo23x0/yarGen。

下面以8220黑客团伙（StartMiner）的恶意脚本进行演示：

如何提取其yara规则？

首先需要收集该家族每次变种的样本，如下，该家族从2018年8月到现在一直在更新，其特点是脚本大部分都伪装成.jpg后缀。