恶意软件 识别工具 yara 安装使用

目录

概述

下载及安装

问题解决

测试

获取yara规则

获取恶意样本

开始扫描

---

概述

Yara是一款用于识别恶意软件及对其行为进行分类的安全利器。Yara会根据我们自己编写的yara规则，来对可疑软件进行一个模式匹配，若可疑软件中的一些特征与我们的yara规则匹配上了，则可以初步认定可疑软件为恶意软件。

项目地址：https://github.com/VirusTotal/yara

---

下载及安装

Linux：

apt-get install yara apt-get install python-yara /pip install yara 

Windows：

https://www.dropbox.com/sh/umip8ndplytwzj1/AADdLRsrpJL1CM1vPVAxc5JZa?dl=0&lst=

 pip install yara-python

---

问题解决

yara: error while loading shared libraries: /usr/lib/libyara.so: cannot open shared object file: No such file or directory

apt安装python-yara后，libyara.so放在了~/.local目录下，将libyara.so复制到/usr/lib目录下即可。 PS：输入命令grep libyara.so * -r寻找libyara.so的具体位置

---

测试

echo "rule dummy { condition: true }" > my_first_rule
yara my_first_rule my_first_rule 

PS：yara命令第一个参数为rule文件，第二参数为待检测文件 

输出 dummy my_first_rule，则运行成功

---

获取yara规则

工欲善其事必先利其器，要让Yara能精确地识别恶意软件并将其分类，你必须拥有一个强大的yara规则库，但我们还不懂怎么写这些yara规则，那该怎么办呢？别急，yara给我们提供了一个现成的yara规则库，在我们还没有自己的规则库前就先用着它吧。

项目地址：https://github.com/Yara-Rules/rules

下载yara规则：

git clone https://github.com/Yara-Rules/rules 

规则分11大类：

1. Antidebug_AntiVM：反调试/反沙箱类yara规则
2. Crypto：加密类yara规则
3. CVE_Rules：CVE漏洞利用类yara规则
4. email：恶意邮件类yara规则
5. Exploit-Kits：EK类yara规则
6. Malicious_Documents：恶意文档类yara规则
7. malware：恶意软件类yara规则
8. Mobile_Malware：移动恶意软件类yara规则
9. Packers：加壳类yara规则
10. utils：通用类yara规则
11. Webshells：Webshell类yara规则

---

获取恶意样本

我们在Hybrid上下载Petya样本

我下载的样本MD5为：af2379cc4d607a45ac44d62135fb7015

---

开始扫描

接下来我们就可以使用Yara对此样本进行静态扫描了，我使用加密类的规则对其进行扫描：

运行过程中有警告出现，我们等会再讨论。 我们现在看到Yara扫描出了三个特征：

1. RIPEMD160_Constants： 使用了RIPEMD160加密算法
2. SHA1_Constants：使用了SHA1的加密算法 
3. BASE64_table：发现了base64表，Petya为了防止被识别，使用了bas64对自己先进行加密 

Yara的结果输出大致就是这种格式（特征+样本路径） 我们现在回头看看出现的警告是什么意思：

原来是因为$c0使用了{ 0-9，a-f，A-F }的大范围匹配，导致Yara运行时间大大增长，故而输出了警告。扫描单个样本的时候差别不大，但扫描大量样本的时候就会消耗大量时间，所以我们编写yara规则的时候要多加谨慎。

OK，Yara简单的用法就介绍到这里，如果要更深入地学习，就戳这里吧：

https://yara.readthedocs.io/en/v3.7.0/