恶意软件识别工具 yara 安装使用

曾经终败给现在 2021-08-31 03:55 1013阅读 0赞

**目录**

概述

下载及安装

问题解决

测试

获取yara规则

获取恶意样本

开始扫描

--------------------

## 概述 ##

Yara是一款用于识别恶意软件及对其行为进行分类的安全利器。Yara会根据我们自己编写的yara规则，来对可疑软件进行一个模式匹配，若可疑软件中的一些特征与我们的yara规则匹配上了，则可以初步认定可疑软件为恶意软件。

项目地址：https://github.com/VirusTotal/yara

--------------------

## 下载及安装 ##

Linux：

apt-get install yara apt-get install python-yara /pip install yara

Windows：

https://www.dropbox.com/sh/umip8ndplytwzj1/AADdLRsrpJL1CM1vPVAxc5JZa?dl=0&lst=

pip install yara-python

--------------------

## 问题解决 ##

yara: error while loading shared libraries: /usr/lib/libyara.so: cannot open shared object file: No such file or directory

apt安装python-yara后，libyara.so放在了~/.local目录下，将libyara.so复制到/usr/lib目录下即可。 PS：输入命令grep libyara.so \* -r寻找libyara.so的具体位置

--------------------

## 测试 ##

echo "rule dummy { condition: true }" > my_first_rule
    yara my_first_rule my_first_rule 
    
    PS：yara命令第一个参数为rule文件，第二参数为待检测文件

![Yara测试][Yara]

输出 dummy my\_first\_rule，则运行成功

--------------------

## 获取yara规则 ##

工欲善其事必先利其器，要让Yara能精确地识别恶意软件并将其分类，你必须拥有一个强大的yara规则库，但我们还不懂怎么写这些yara规则，那该怎么办呢？别急，yara给我们提供了一个现成的yara规则库，在我们还没有自己的规则库前就先用着它吧。

项目地址：https://github.com/Yara-Rules/rules

下载yara规则：

git clone https://github.com/Yara-Rules/rules

![Yara规则][Yara 1]

规则分11大类：

1.  Antidebug\_AntiVM：反调试/反沙箱类yara规则
2.  Crypto：加密类yara规则
3.  CVE\_Rules：CVE漏洞利用类yara规则
4.  email：恶意邮件类yara规则
5.  Exploit-Kits：EK类yara规则
6.  Malicious\_Documents：恶意文档类yara规则
7.  malware：恶意软件类yara规则
8.  Mobile\_Malware：移动恶意软件类yara规则
9.  Packers：加壳类yara规则
10. utils：通用类yara规则
11. Webshells：Webshell类yara规则

--------------------

## 获取恶意样本 ##

我们在Hybrid上下载Petya样本

![下载样本][aHR0cDovL2ltZy5ibG9nLmNzZG4ubmV0LzIwMTgwMTA1MDkzNDU2MTAz]

我下载的样本MD5为：af2379cc4d607a45ac44d62135fb7015

--------------------

## 开始扫描 ##

接下来我们就可以使用Yara对此样本进行静态扫描了，我使用加密类的规则对其进行扫描：

![Yara扫描][Yara 2]

运行过程中有警告出现，我们等会再讨论。 我们现在看到Yara扫描出了三个特征：

1. RIPEMD160_Constants： 使用了RIPEMD160加密算法
    2. SHA1_Constants：使用了SHA1的加密算法 
    3. BASE64_table：发现了base64表，Petya为了防止被识别，使用了bas64对自己先进行加密

Yara的结果输出大致就是这种格式（特征+样本路径） 我们现在回头看看出现的警告是什么意思：

![Yara为标题解决][Yara 3]

原来是因为$c0使用了\{ 0-9，a-f，A-F \}的大范围匹配，导致Yara运行时间大大增长，故而输出了警告。扫描单个样本的时候差别不大，但扫描大量样本的时候就会消耗大量时间，所以我们编写yara规则的时候要多加谨慎。

OK，Yara简单的用法就介绍到这里，如果要更深入地学习，就戳这里吧：

https://yara.readthedocs.io/en/v3.7.0/

[Yara]: /images/20210728/2a741d6169074e1c88e5993eb93e448f.png
[Yara 1]: /images/20210728/9f4c81ea8ca34d57ba7e1d1147441dfd.png
[aHR0cDovL2ltZy5ibG9nLmNzZG4ubmV0LzIwMTgwMTA1MDkzNDU2MTAz]: /images/20210728/ebe32a87affe418d85cd08a9f1e10b1c.png
[Yara 2]: /images/20210728/9805a3991acd4702a5e7adb376eb4662.png
[Yara 3]: /images/20210728/cdf213a4489d436fad2e7f5642c969f4.png