Ανάλυση δυνατοτήτων εργαλείου YARA
Loading...
Files
Date
2026-10-14
Authors
Ζαμπέλης, Νικόλαος
Journal Title
Journal ISSN
Volume Title
Publisher
Abstract
Το YARA είναι ένα από τα πιο διαδεδομένα εργαλεία με τα οποία οι αναλυτές περιγράφουν και ανταλλάσσουν υπογραφές κακόβουλου λογισμικού. Χιλιάδες κανόνες του κυκλοφορούν ελεύθερα σε δημόσια αποθετήρια. Η εργασία εξετάζει τις δυνατότητες του εργαλείου από δύο πλευρές: στατικά, αναλύοντας τους δημόσιους κανόνες ως σώμα κειμένων, και εμπειρικά, εκτελώντας τους σε πραγματικά δείγματα.
Αρχικά μελετάται η μηχανή, στις δύο εκδόσεις που χρησιμοποιούνται σήμερα, το YARA 4.5.8 και τη νέα υλοποίηση YARA-X 1.21.0. Μικρο-πειράματα δείχνουν ότι το κόστος ενός κανόνα καθορίζεται από την ποιότητα των atoms των strings του. Δείχνουν επίσης ότι το YARA-X είναι πολύ λιγότερο ευαίσθητο στα ακριβά strings.
Στη συνέχεια χαρτογραφούνται 66 δημόσια αποθετήρια με 128.611 κανόνες. Το 39,3% αυτών είναι αντίγραφα υπογραφών packers. Το κύριο corpus που απομένει (15.882 κανόνες σε 40 αποθετήρια) αναλύεται ως προς τους τύπους strings, τους modifiers, τους τελεστές, τα modules και τα metadata. Το 96,0% των κανόνων μεταγλωττίζεται σε καθεμία από τις δύο μηχανές, και τα αποτελέσματά τους ταυτίζονται.
Οι κανόνες εκτελέστηκαν σε 2.000 πρόσφατα δείγματα 20 οικογενειών από το MalwareBazaar και σε 20.371 καλοήθη αρχεία, με πρωτόκολλο που δεν έφερε κανένα δείγμα σε επαφή με τον προσωπικό υπολογιστή. Οι κανόνες αποδείχθηκαν ακριβείς αλλά με χαμηλή ανάκληση. Μόνο ένα από τα 697 ζεύγη κανόνα–οικογένειας είχε ψευδώς θετικά, αλλά το 76% δεν ανίχνευσε κανένα δείγμα της οικογένειάς του. Η ανίχνευση κυμάνθηκε από 0% έως 100% ανά οικογένεια. Στα δείγματα χωρίς ένδειξη packing ήταν 43,3%, ενώ με packer έπεσε στο 10,9% και με installer στο 0,4%.
Τα ψευδώς θετικά προήλθαν κυρίως από βοηθητικούς κανόνες που συνυπάρχουν με τους κανόνες ανίχνευσης. Ο modifier nocase συνδέθηκε με περισσότερα ψευδώς θετικά. Συνολικά όμως τα δομικά χαρακτηριστικά των κανόνων εξηγούν ελάχιστα την απόδοσή τους. Η εργασία καταλήγει σε πρακτικές συστάσεις για τη χρήση δημόσιων κανόνων και για τη μετάβαση στο YARA-X.
Description
Keywords
Aνίχνευση κακόβουλου λογισμικού, Υπογραφές, Στατική ανάλυση, Αποθετήρια κανόνων