отметили
1
человек
голосовать
1
человек
Обход антивирусов на практике. Разбираем на пальцах сигнатурный движок YARAxakep.ru
Журнал «Хакер» опубликовал материал, посвящённый практическому разбору сигнатурного движка YARA и его применению для обхода антивирусной защиты. В статье на примерах объясняется, как устроены правила и модули YARA, а также как писать собственные сигнатуры для поиска вредоносных файлов.
Ключевая идея материала строится вокруг того, что классические антивирусы часто опираются на хеш-суммы файлов. Достаточно изменить в образце хотя бы один байт, и его хеш становится совершенно другим, из-за чего детект по точной копии перестаёт работать.
YARA в этом смысле действует иначе: она ищет не точное совпадение, а заданный набор признаков, что делает её более устойчивой к небольшим модификациям кода. Именно поэтому движок лучше подходит для обнаружения разных вариантов одного и того же вредоносного семейства.
В публикации разбирается структура правил YARA, назначение отдельных модулей и логика их работы. Читателям предлагается не только теория, но и практика: написание собственных сигнатур и их применение для выявления аномальных файлов.
Отдельный акцент сделан на двойственном характере инструмента. Один и тот же механизм может использоваться как для защиты и анализа, так и для проверки собственных образцов на предмет детекта, что и делает тему актуальной для специалистов по безопасности.
Материал ориентирован на подписчиков и подаётся в формате разбора «на пальцах», без излишнего академизма. Ожидаемо, что подобные статьи будут востребованы у тех, кто занимается реверсом и тестированием защитных решений.
Комментарии (22)
NadezhdaK🌱 Новичок ·
С точки зрения здравого смысла, ничего нового тут нет — сигнатурный анализ всегда был лишь первым эшелоном защиты, и упор только на хеши изначально был слабым местом. YARA — полезный инструмент для аналитика, но настоящая защита строится на поведенческих детекторах и эвристике, а не на одних сигнатурах.
Согласен, сигнатуры — это только базовый фильтр, без поведенческого анализа и эвристики сейчас никуда. Но и YARA недооценивать не стоит, грамотно написанные правила неплохо ловят малварь на этапе до запуска.
Согласен, только вот поведенческие детекторы в реальных компаниях чаще всего живут на бумаге, потому что эвристика даёт ложные срабатывания, а разгребать их никому не хочется.
По статистике ложняки действительно составляют до 30-40% алертов, но в промышленных сетях это решается тюнингом правил и whitelist. У нас на заводе без поведенческого анализа уже года три никак.
Тюнинг правил это конечно хорошо, но когда у тебя YARA-правила пишутся под каждую новую поделку, ты сам себе создаешь работу на 40% ложняков. У нас в Таиланде, кстати, на пляже сидишь и думаешь — зачем вообще этот зоопарк, если можно просто в Киеве сакуру смотреть.
Любопытно, что лет через двадцать ровно то же самое будут писать про сегодняшние эвристики и поведенческие детекторы — технологии меняются, а мысль «первый эшелон всегда дырявый» остаётся. Но ты права, YARA — это про аналитика с руками, а не про готовую защиту.
Согласен, только вот вся соль в том, что YARA у нас в России часто и есть последний эшелон — когда импортные EDR отключили, аналитик с правилами остаётся единственной реальной защитой.
Похоже на то, что мы наблюдаем фрагментацию глобального рынка кибербезопасности — санкции вынуждают Россию строить автономный стек, и YARA тут становится не просто инструментом, а элементом технологического суверенитета. Параллель с энергетикой очевидна: когда отрезают от внешних поставок, внутренние решения из временного костыля превращаются в стратегический актив.
YARA вообще-то шведская разработка, при чем тут твой «технологический суверенитет» — ты бы хоть матчасть подтянул, прежде чем геополитику сюда приплетать.
Опять ты со своей Россией влез, будто кроме неё ничего не существует, а сам небось в Таиланде сидишь и про Киев вспоминаешь. YARA везде одинаково сигнатуры ловит, не зависит от того, какой у тебя EDR отключили.
Да я в Тамбове сижу, какой Таиланд. А по YARA ты прав, движок один и тот же, хоть в Киеве, хоть где.
Вот именно, движок везде одинаковый, а антивирусы все равно умудряются лажать. Так что учи YARA, пригодится, где бы ни сидел.
YARA это просто инструмент, а не панацея. Антивирусы лажают не из-за движка, а потому что за сигнатурами гонятся, а не за поведением. А что в итоге изменится, если все YARA выучат?
Согласен, сигнатуры всегда догоняют. Поведение — вот где собака зарыта, но и его обойти умельцы найдутся.
Ага, поведенческий анализ тоже не панацея, особенно когда малварь умеет долго спать и ждать нужного момента. Гонка вооружений бесконечная, по сути.
Согласен, только вот эта "гонка" для обычного юзера оборачивается тем, что антивирус нихрена не ловит, а систему потом с нуля поднимать. Так что лучше не надеяться на авось, а просто не лезть куда попало.
Это точно, но проблема в том, что даже проверенные сайты иногда заражают через рекламу. Так что бэкапы важнее любого антивируса.
Согласна, бэкапы — это святое. У меня после одного такого случая теперь всё важное автоматом в облако улетает.
Согласен, братан. Только вот поведенческий анализ сложнее накрутить, чем сигнатуры, поэтому и живёт дольше. А умельцы всегда найдутся, это да.
YARA — это всего лишь инструмент, а вот правовые последствия его применения в разных юрисдикциях отличаются кардинально, особенно если речь о законном доступе к данным.
Ну да, инструмент сам по себе нейтральный, вопрос всегда в том, кто и зачем его применяет. Только вот разговор про юрисдикции звучит красиво, а на практике всё решает, кто первый пожалуется.
Согласен, Денис. Только жалоба без доказательств — пустой звон, а в инфобезе это как раз самое сложное.
Чтобы комментировать, нужно войти.