Qué clasifica una regla y qué no

YARA compara un archivo con la descripción que hace una regla: cadenas de texto, secuencias de bytes y una condición que las combina. Si la condición se cumple, hay coincidencia. Eso es todo lo que el motor sabe: no ve si el archivo se abrió, a qué equipo llegó, quién lo envió ni con qué intención. Por eso a estas reglas se las llama de clasificación: ponen una etiqueta a un archivo según rasgos que alguien decidió que caracterizan a una familia.

Para el analista de inteligencia, la coincidencia es un dato con una fuente (la regla) y una calidad (lo bien escrita que esté). Pasarla a una afirmación sobre un actor, un compromiso o una campaña exige otra evidencia: registros de ejecución, de red, de correo, informes de terceros.

El borrador del boletín semanal ya está escrito y tiene cuatro afirmaciones sobre el adjunto. Antes de que salga hay que tachar lo que la coincidencia no sostiene. Consulta SELECT * FROM coincidencia para ver dónde estaba el archivo y si se abrió, y SELECT * FROM borrador para leer las afirmaciones.

Una afirmación que nombra a un actor, que habla de un equipo comprometido o que convierte dos coincidencias en certeza va más allá de lo que se tiene. Lo que queda es lo que un lector puede comprobar con la tabla de la coincidencia.

El nombre de una regla lo pone su autor, y a veces mete en él a un actor. Si la familia la usa un solo grupo, el nombre es un atajo cómodo; si la familia se alquila o se vende, el nombre convierte cada coincidencia en una atribución que nadie hizo. Quien recibe la regla tiende a leer el nombre y no la descripción.

Consulta SELECT * FROM reglas. Compara el nombre de cada regla con lo que su descripción en meta dice que busca y quién la usa.

Que una regla no coincida tampoco dice mucho: puede que el archivo sea limpio, que sea otra familia, o que sea una variante que la regla no conoce. Y hay cosas que una regla sobre archivos no puede ver nunca: la conducta del programa cuando corre, sus conexiones o lo que hizo en el equipo. Esa parte la cubren otros registros.

La regla R-04 de la tabla describe una plantilla de recibo falso, no código. Eso cambia lo que significa una coincidencia suya.