【逆向】Yara規則編寫安裝與使用教程

前言

Yara是一個能夠幫助惡意軟件研究人員識別和分類惡意軟件樣本的工具（類似正則表達式）。
規則可以通過文本或二進制的模式被創建，並且每個規則均由一組字符串和一個布爾表達式組成。

//示例規則
rule Test : Trojan
{
    //規則描述
    meta:
        author = "Sunset"
        date = "2020-04-08"
        description = "Trojan Detection"

    //規則字符串
    strings:
        $a = {6A 40 68 00 30 00 00 6A 14 8D 91}
        $b = {8D 4D B0 2B C1 83 C0 27 99 6A 4E 59 F7 F9}
        $c = "UVODFRYSIHLNWPEJXQZAKCBGMT"

    //條件表達式
    condition:
        $a or $b or $c
}

編譯下載

項目：https://github.com/virustotal/yara

releases：https://github.com/VirusTotal/yara/releases

--atom - quality - table = FILE             //
- C, --compiled - rules                     //加載編譯規則
- c, --count                                //  只打印命中的規則數量
- d, --define = VAR = VALUE                 //定義外部變量
     --fail - on - warnings                 //失敗警告
- f, --fast - scan                          //快速匹配模式
- h, --help                                 //顯示幫助並退出
- i, --identifier = IDENTIFIER              //  匹配指定名稱的規則（使用指定名稱的規則進行匹配）
- l, --max - rules = NUMBER                 //匹配多個規則后中止掃描
     --max - strings - per - rule = NUMBER  //設置每個規則的最大字符串數量(默認 = 10000)
- x, --module - data = MODULE = FILE        //將文件內容作為額外數據傳遞給模塊
- n, --negate                               //  只打印不匹配的規則
- w, --no - warnings                        //禁用警告
- m, --print - meta                         //  打印元數據（在命中結果中顯示：規則元數據）
- D, --print - module - data                //  打印模塊數據（在命中結果中顯示：規則名稱與樣本名稱）
- e, --print - namespace                    //打印規則的名稱空間
- S, --print - stats                        //打印規則的統計信息
- s, --print - strings                      //  打印匹配的字符串
- L, --print - string - length              //打印匹配的字符串長度（字符串在文件中的偏移與長度）
- g, --print - tags                         //  打印標簽（顯示命中規則的標簽）
- r, --recursive                            //  遞歸搜索目錄（匹配該目錄下的所有樣本文件）
- k, --stack - size = SLOTS                 //設置最大堆棧大小(默認值為16384)
- t, --tag = TAG                            //  匹配指定標簽的規則（使用指定規則標簽進行匹配，標簽區分大小寫）
- p, --threads = NUMBER                     //指定多少線程數來掃描目錄
- a, --timeout = SECONDS                    //指定多少秒后中止掃描
- v, --version                              //顯示版本信息

規則編寫

Yara規則語法類似於C語言，易於編寫和理解，每個規則都以關鍵字“rule”開頭，后面跟着一個規則標識符。
標識符必須遵循與C語言相同的詞法約定，它們可以包含任何字母數字和下划線，但第一個字符不能是數字。
規則標識符區分大小寫，並且不能超過128個字符。以下關鍵字是保留的，不能用作標識：

注釋

你可以像編寫C語言一樣，在Yara規則中添加注釋：

//　單行注釋

/*
　　多行注釋
*/

字符串

Yara中有三種類型的字符串:
十六進制串：定義原始字節序列

//通配符：可以代替某些未知字節，與任何內容匹配
rule WildcardExample
{
    strings:
       //使用‘?’作為通配符
       $hex_string = { 00 11 ?? 33 4? 55 }

    condition:
       $hex_string
}

//跳轉：可以匹配長度可變的字符串
rule JumpExample
{
        strings:
           //使用‘[]’作為跳轉，與任何長度為0-2字節的內容匹配
           $hex_string1 = { 00 11 [2] 44 55 }
           $hex_string2 = { 00 11 [0-2] 44 55 }           
           //該寫法與string1作用完全相同
           $hex_string3 = { 00 11 ?? ?? 44 55 }

        condition:
           $hex_string1 and $hex_string2
}

//也可以使用類似於正則表達式的語法
rule AlternativesExample1
{
    strings:
       $hex_string = { 00 11 ( 22 | 33 44 ) 55 }
       /*
        可以匹配以下內容:
        00 11  22  55
        00 11  33 44  55
       */
       
    condition:
       $hex_string
}

//還可以將上面介紹的方法整合在一起用
rule AlternativesExample2
{
    strings:
       $hex_string = { 00 11 ( 33 44 | 55 | 66 ?? 88 ) 99 }

    condition:
       $hex_string
}

文本字符串：定義可讀文本的部分

//轉義符：
    \"        雙引號
    \\        反斜杠
    \t        制表符
    \n        換行符
    \xdd      十六進制的任何字節
    
//修飾符：
    nocase：  不區分大小寫
    wide：    匹配2字節的寬字符
    ascii：   匹配1字節的ascii字符
    xor：     匹配異或后的字符串
    fullword：匹配完整單詞
    private： 定義私有字符串
    
rule CaseInsensitiveTextExample
{
    strings:
        //不區分大小寫
        $text_string = "foobar" nocase
        //匹配寬字符串
        $wide_string = "Borland" wide
        //同時匹配2種類型的字符串
        $wide_and_ascii_string = "Borland" wide ascii
        //匹配所有可能的異或后字符串
        $xor_string = "This program cannot" xor
        //匹配所有可能的異或后wide ascii字符串
        $xor_string = "This program cannot" xor wide ascii
        //限定異或范圍
        $xor_string = "This program cannot" xor(0x01-0xff)
        //全詞匹配(匹配:www.domain.com  匹配:www.my-domain.com  不匹配:www.mydomain.com)
        $wide_string = "domain" fullword
        //私有字符串可以正常匹配規則，但是永遠不會在輸出中顯示
        $text_string = "foobar" private
        
    condition:
        $text_string
}

正則表達式：定義可讀文本的部分

條件表達式

你可以在條件表達中使用如下運算符：

all any them

all of them       // 匹配規則中的所有字符串
any of them       // 匹配規則中的任意字符串
all of ($a*)      // 匹配標識符以$a開頭的所有字符串
any of ($a,$b,$c) // 匹配a, b，c中的任意一個字符串
1 of ($*)         // 匹配規則中的任意一個字符串

#

//===匹配字符串在文件或內存中出現的次數
rule CountExample
{
    strings:
        $a = "dummy1"
        $b = "dummy2"

    condition:
        //a字符串出現6次，b字符串大於10次
        #a == 6 and #b > 10
}

@

//可以使用@a[i]，獲取字符串$a在文件或內存中，第i次出現的偏移或虛擬地址
//小標索引從1開始，並非0
//如果i大於字符串出現的次數，結果為NaN(not a number 非數值)

！

//可以使用!a[i]，獲取字符串$a在文件或內存中，第i次出現時的字符串長度   
//下標索引同@一樣都是從1開始
//!a 是 !a[1]的簡寫

at

//===匹配字符串在文件或內存中的偏移
rule AtExample
{
    strings:
        $a = "dummy1"
        $b = "dummy2"

    condition:
        //a和b字符串出現在文件或內存的100和200偏移處
        $a at 100 and $b at 200
}

in

//===在文件或內存的某個地址范圍內匹配字符串
rule InExample
{
    strings:
        $a = "dummy1"
        $b = "dummy2"

    condition:
        $a in (0..100) and $b in (100..filesize)
}

filesize

//===使用關鍵字匹配文件大小
rule FileSizeExample
{
    condition:
       //filesize只在文件時才有用，對進程無效
       //KB MB后綴只能與十進制大小一起使用
       filesize > 200KB
}

entrypoint

//===匹配PE或ELF文件入口點(高版本請使用PE模塊的pe.entry_point代替)
rule EntryPointExample1
{
    strings:
        $a = { E8 00 00 00 00 }

    condition:
       $a at entrypoint
}

rule EntryPointExample2
{
    strings:
        $a = { 9C 50 66 A1 ?? ?? ?? 00 66 A9 ?? ?? 58 0F 85 }

    condition:
       $a in (entrypoint..entrypoint + 10)
}

intxxx uintxxx

//===從指定的文件或內存偏移處讀取數據
//小端: 有符號整數
int8(<offset or virtual address>)
int16(<offset or virtual address>)
int32(<offset or virtual address>)

//小端: 無符號整數
uint8(<offset or virtual address>)
uint16(<offset or virtual address>)
uint32(<offset or virtual address>)

intxxxbe uintXXXbe

//大端: 有符號整數
int8be(<offset or virtual address>)
int16be(<offset or virtual address>)
int32be(<offset or virtual address>)

//大端: 無符號整數
uint8be(<offset or virtual address>)
uint16be(<offset or virtual address>)
uint32be(<offset or virtual address>)

//應用示例
rule IsPE
{
  condition:
     //判斷是否PE文件
     uint16(0) == 0x5A4D and
     uint32(uint32(0x3C)) == 0x00004550
}

of

//===匹配多個字符串中的某幾個
rule OfExample1
{
    strings:
        $a = "dummy1"
        $b = "dummy2"
        $c = "dummy3"

    condition:
        //3個字符串只需匹配任意2個
        2 of ($a,$b,$c)
}

for xxx of xxx ：(xxx)

//功能：
對多個字符串匹配相同的條件
//格式：
for AAA of BBB : ( CCC )
//含義：
在BBB字符串集合中，至少有AAA個字符串，滿足了CCC的條件表達式，才算匹配成功。
在CCC條件表達式中，可以使用'$'依次代替BBB字符串集合中的每一個字符串。

//for..of其實就是of的特別版，所以下面2個例子作用相同
any of ($a,$b,$c)
for any of ($a,$b,$c) : ( $ )

//在abc3個字符串集合中，至少有1個字符串，必須滿足字符串內容與entrypoint相同的條件
for 1 of ($a,$b,$c) : ( $ at entrypoint  )
for any of ($a,$b,$c) : ( $ at entrypoint  )

//所有字符串，在文件或內存中出現的次數必須大於3，才算匹配成功。
for all of them : ( # > 3 )

//所有以$a開頭的字符串，在文件或內存中第2次出現的位置必須小於9
for all of ($a*) : (@[2] < 0x9)

for xxx i in (xxx) ：(xxx)

//格式：
for AAA BBB in (CCC) : (DDD)
//含義：
作用與for of類似，只是增加了下標變量與下標范圍，具體看示例

//$b在文件或內存中出現的前3次偏移，必須與$a在文件或內存中出現的前3次偏移+10相同
for all i in (1,2,3) : ( @a[i] + 10 == @b[i] ) 
for all i in (1..3) : ( @a[i] + 10 == @b[i] )

//$a每次在文件或內存中出現位置，都必須都小於100
for all i in (1..#a) : ( @a[i] < 100 )

//其它示例
for any i in (1..#a) : ( @a[i] < 100 )
for 2 i in (1..#a) : ( @a[i] < 100 )

引用其它規則

rule Rule1
{
    strings:
        $a = "dummy1"

    condition:
        $a
}

rule Rule2
{
    strings:
        $a = "dummy2"

    condition:
        $a and Rule1
}

全局規則

//全局規則（global rule）可以在匹配其他規則前優先篩選，
//比如在匹配目標文件之前需要先篩選出小於2MB的文件，在匹配其他規則
global rule SizeLimit
{
    condition:
        filesize < 2MB
}

私有規則

//私有規則（private rule）可以避免規則匹配結果的混亂，
//比如使用私有規則進行匹配時，YARA不會輸出任何匹配到的私有規則信息
//私有規則單獨使用意義不大，一般可以配合"引用其它規則"的功能一起使用
//私有規則也可以和全局規則一起使用，只要添加“Private”、“global”關鍵字即可
private rule PrivateRuleExample
{
    ...
}

規則標簽

//規則標簽，可以讓你在YARA輸出的時候只顯示你感興趣的規則，而過濾掉其它規則的輸出信息
//你可以為規則添加多個標簽
rule TagsExample1 : Foo Bar Baz
{
    ...
}

rule TagsExample2 : Bar
{
    ...
}

導入模塊

//使用“import”導入模塊
//你可以自己編寫模塊，也可以使用官方或其它第三方模塊
//導入模塊后，就可以開始使用模塊導出的變量或函數
import "pe"
import "cuckoo"

pe.entry_point == 0x1000
cuckoo.http_request(/someregexp/)

外部變量

//外部變量允許你在使用YARA -d命令時指定一個自定義數據，
//該數據可以是整數、字符串、布爾變量，具體看以下示例

//使用布爾變量和一個整數變量作為判斷條件
rule ExternalVariableExample2
{
    condition:
       bool_ext_var or filesize < int_ext_var
}

//字符串變量可以與以下運算符一起使用：
contains：如果字符串包含指定的子字符串，返回True
matches： 如果字符串匹配給定的正則表達式時，返回True

rule ExternalVariableExample3
{
    condition:
        string_ext_var contains "text"
}

rule ExternalVariableExample4
{
    condition:
        string_ext_var matches /[a-z]+/
}

文件包含

//作用於C語言一樣，可以包含其它規則到當前文件中
include "other.yar"

//相對路徑
include "./includes/other.yar"
include "../includes/other.yar"

//全路徑
include "/home/plusvic/yara/includes/other.yar"

參考資料

https://github.com/virustotal/yara
https://github.com/Yara-Rules/rules
https://yara.readthedocs.io/en/stable/
https://github.com/InQuest/awesome-yara
https://bbs.pediy.com/thread-226011.htm