YARA desde las cadenas de una muestra

Una regla YARA tiene dos bloques. En strings se declaran los trozos de contenido que se buscan, cada uno con un nombre que empieza por $. En condition se dice cuántos de ellos, y en qué circunstancias, hacen que el archivo sea una coincidencia. Un ejemplo con textos inventados, que no son los del laboratorio:

rule ejemplo_didactico
{
    strings:
        $a = "texto-de-ejemplo" ascii
        $b = "otro-texto" wide
    condition:
        any of them and filesize < 200KB
}

La regla no ejecuta el archivo ni lo interpreta: lee sus bytes. Por eso se aplica igual a un archivo en disco, a una copia apartada o a una región de memoria que alguien volcó para analizar. Y por eso mismo es ciega a lo que el archivo hace y solo ve lo que el archivo contiene.

Una cadena puede estar en un archivo de dos maneras comunes. En ascii cada letra ocupa un byte. En wide (UTF-16) ocupa dos, con un byte vacío intercalado; es habitual en programas de Windows y no se ve como texto corriente en un volcado. Una regla que busca "abc" como texto simple no encuentra el mismo abc escrito en formato ancho: hay que decir wide en la línea de la cadena, o ascii wide si puede estar de las dos formas.

Es de los fallos más frecuentes de una primera regla: el texto está ahí, la regla lo busca, y no coincide.

Una regla no está terminada cuando coincide con la muestra: eso lo hace cualquier regla. Está terminada cuando, además, no coincide con lo que no debe. Por eso se prueba contra un corpus de archivos conocidos y limpios, y cada coincidencia ahí es un falso positivo.

Mira las tres reglas borrador y cómo les fue con el corpus de cuatrocientos archivos del parque. Relaciona los números con las cadenas que usa cada una: la columna final de la tabla de cadenas dice cuántos archivos limpios contienen cada una.

El número bruto cuenta. Una regla que marca más de las tres cuartas partes de los archivos legítimos no es una regla con un problema que afinar, es una regla construida sobre las cadenas equivocadas. Con ese volumen, nadie la revisa y la que se pierde es la coincidencia real.

Lee la cifra exacta de esa regla en la prueba que acabas de abrir; es el dato que se anota en su ficha antes de decidir nada.

Hay tres reacciones posibles ante una regla que dispara con casi todo. Se puede apagar y olvidar, se puede intentar «afinarla» con una lista de excepciones para cada programa que molesta, o se puede volver a su origen y preguntarse por qué sus cadenas son comunes. Las dos primeras tratan el síntoma.

La causa está en la tabla de cadenas: las dos cadenas de esa regla las tienen decenas o cientos de archivos limpios. No describen la familia; describen casi cualquier programa.