Cadenas y condiciones: leer sin ejecutar

Una regla YARA tiene un nombre, etiquetas opcionales tras dos puntos y hasta tres secciones. En meta el autor deja datos para quien lee: quién la escribió, cuándo, qué busca. En strings declara las cadenas, cada una con un identificador que empieza por $: texto entre comillas o bytes en hexadecimal entre llaves, donde ?? acepta cualquier byte. En condition las combina con and, or y paréntesis. La documentación oficial es clara en dos puntos: la condición es la única sección obligatoria, y los valores de meta no intervienen en ella.

Los modificadores cambian cómo se busca cada texto: nocase ignora mayúsculas, wide busca la cadena con dos bytes por carácter, como la guardan muchos programas de Windows, y ascii wide busca las dos formas. Abre la regla con cat TCS_Tatacoa_Cargador.yar en la carpeta de inicio.

La condición tiene tres partes unidas por and: los dos primeros bytes del archivo deben ser MZ (eso comprueba uint16(0) == 0x5A4D), el tamaño debe ser menor de 400KB y, además, se tiene que cumplir uno de dos caminos: todas las cadenas $cfg, o la secuencia $hex1 junto con al menos una de las cadenas $doc.

Lee cat inventario-de-archivos.txt y recorre los ocho archivos. En YARA, KB multiplica por 1024, así que el límite está en bytes. Un archivo debe pasar las tres partes; uno que falle cualquiera queda fuera.

Los límites de tamaño se escriben con un operador estricto o no estricto, y un archivo que mide exactamente el límite cae de un lado o del otro según cuál se haya usado. Es un detalle que solo aparece si se lee la regla con cuidado, y que en un informe se convierte en la pregunta de por qué una muestra no coincidió.

En el inventario hay un archivo que cumple los bytes iniciales y tiene todas las cadenas de un camino, pero no coincide.

El archivo arch-04 contiene todas las cadenas de configuración y uno de los textos del recibo, y aun así la regla no lo marca. Leer por qué no coincide un archivo es tan útil como leer por qué coincide: dice qué supuso el autor de la regla sobre la familia.