Condiciones que cubren variantes sin gritar

La condición de una regla YARA expresa cuántas cadenas deben estar. Las tres formas básicas son all of them (todas), any of them (al menos una) y 2 of them (un número exacto, aquí al menos dos). Se pueden aplicar a un subconjunto con paréntesis, por ejemplo 2 of ($a, $b, $c), y combinar con condiciones sobre el archivo, como su tamaño.

Cada forma mueve el equilibrio. Exigir todas es lo más estricto: casi no hay falsos positivos, pero basta que una variante cambie una cadena para que la regla no la vea. Aceptar cualquiera es lo más amplio: ve las variantes, pero una sola cadena común basta para disparar. Exigir un número intermedio reparte el riesgo.

El banco de ensayo reproduce cada regla contra cinco variantes. Mira primero qué conserva cada variante de las tres cadenas estables y luego qué regla pierde cuál.

Una variante que solo conserva una cadena es la prueba más dura para una condición de «al menos dos». Si esa variante existe en tu ensayo, la regla de dos de tres va a perderla, y lo correcto es saber cuál es antes de que salga a la calle.

El resumen del ensayo pone las dos cifras juntas: cuántas de las cinco variantes encuentra cada regla y cuántos de los 400 archivos limpios marca. Una regla se juzga por las dos a la vez; mirar solo la primera premia a la que dispara con todo, y mirar solo la segunda premia a la que no ve nada.

Una de las cuatro cuenta entre sus cadenas una función de script que muchos archivos limpios también contienen. Verás su efecto en la columna de falsos positivos.

La regla ganadora tiene los mejores números en este corpus, pero esos números describen cuatrocientos archivos y cinco variantes. No garantizan nada sobre el resto del parque ni sobre la variante que todavía no existe. Y su condición, «cualquiera de las tres», depende de que ninguna de esas cadenas aparezca un día en un programa legítimo: bastaría una para que dispare.

Lo que se hace es dejarlo escrito en la ficha de la regla, junto con la fecha de la prueba y el tamaño del corpus, y volver a medir cuando el parque cambie o aparezca una variante.