🕯کاربردی از یارا

#امنیت_به_زبان_ساده

فرض کنید تیم امنیتی متوجه شده یک بدافزار جدید در شبکه پخش شده که فایلی به نام مثلاً update_kaspersky.exe ایجاد می‌کند و داخلش رشته‌ای خاص وجود دارد:


cmd.exe /c powershell -EncodedCommand

این نشانه معمولاً در بدافزارهایی دیده می‌شود که سعی می‌کنند PowerShell را به‌صورت مخفی اجرا کنند.

☄️قانون (Rule) YARA

ما می‌خواهیم قانونی بنویسیم تا هر فایلی که چنین الگویی دارد پیدا شود. قانون بسیار ساده YARA می‌تواند این باشد:



yara
rule suspicious_powershell_use
{
meta:
description = "Detects hidden PowerShell execution in malware"
author = "ThreatHuntTeam"
strings:
$a = "cmd.exe /c powershell -EncodedCommand"
condition:
$a
}

⏱ اجرای قانون

تیم شکار تهدید (Threat Hunting Team) این قانون را در مسیر فایل‌های مشکوک یا روی دامپ حافظه اجرا می‌کند. مثلاً در خط فرمان:


yara suspicious_powershell_use.yar D:\IncidentSamples\

🥇 نتیجه

اگر YARA در یکی از هزاران فایل بررسی‌شده، آن رشته را پیدا کند، خروجی مثل این داده می‌شود:


suspicious_powershell_use D:\IncidentSamples\update_kaspersky.exe

یعنی این فایل الگوی مشکوک را دارد.

در ادامه، Hunter آن فایل را باز می‌کند، رفتار آن را در Sandbox بررسی می‌کند، و اگر تایید شد، هم هش (Hash) و هم قانون YARA را در تهدیدنامه سازمان ثبت می‌کند تا در دفعات بعدی، سیستم به‌صورت خودکار آن را مسدود کند.


#آکادمی_روزبه
🛡مرکز تخصصی CISSP و ISSMP