Eine VirusTotal-Funktion, die Ihre YARA-Regeln auf neu eingereichte Dateien anwendet und bei Treffern benachrichtigt.

Eine VirusTotal-Funktion, die YARA-Regeln über ein Zeitfenster früher eingereichter Dateien laufen lässt, um ältere Proben zu finden.

Kann ich das vt-Modul außerhalb von VirusTotal nutzen?

Es kompiliert mit YARA-X, aber seine Felder füllt nur die VirusTotal-Infrastruktur. Lokal sind sie undefiniert, abhängige Bedingungen treffen nicht.

Eine VirusTotal-Funktion, die Ihre YARA-Regeln auf neu eingereichte Dateien anwendet und bei Treffern benachrichtigt.

Eine VirusTotal-Funktion, die YARA-Regeln über ein Zeitfenster früher eingereichter Dateien laufen lässt, um ältere Proben zu finden.

Kann ich das vt-Modul außerhalb von VirusTotal nutzen?

Es kompiliert mit YARA-X, aber seine Felder füllt nur die VirusTotal-Infrastruktur. Lokal sind sie undefiniert, abhängige Bedingungen treffen nicht.

YARA auf VirusTotal: Livehunt und Retrohunt

VirusTotal, die Heimat von YARA, ist einer der Orte, an denen YARA-Regeln in großem Maßstab laufen. Funktionsnamen und Limits hängen vom Abonnement ab — Details in der VirusTotal-Dokumentation.

Crowdsourced-Regeln

VirusTotal wendet eine Auswahl öffentlicher Sammlungen auf jede Datei an und zeigt treffende Regeln im Bericht, mit Link zur Quelle. Viele stammen aus denselben Repositories wie diese Bibliothek.

Livehunt

Wendet Ihre Regeln auf neue Einreichungen an und benachrichtigt bei Treffern — um Familien zu verfolgen, Varianten einer Vorfallsprobe zu erkennen oder Erwähnungen der eigenen Organisation zu überwachen. Wegen des Volumens zählen schnelle Regeln (siehe Performance).

Retrohunt

Wendet Regeln auf früher eingereichte Dateien innerhalb eines Aufbewahrungsfensters an: „Gab es das schon?“ Oft tauchen ältere Builds oder verwandte Tools auf. VirusTotal nutzt YARA-X produktiv — eine Regel, die im Editor sauber kompiliert, verhält sich dort gleich.

Das vt-Modul

In Livehunt stellt vt Metadaten zur Einreichung und zu VirusTotal-Analysen bereit. Außerhalb kompiliert es, aber die Felder sind undefiniert — Inhaltslogik und vt-Logik trennen, damit der Inhaltsteil lokal testbar bleibt.

import "vt"

rule VT_Context_Example
{
    strings:
        $a = "ExampleImplantConfig" ascii
    condition:
        $a and filesize < 5MB
}

Unterschiede zum lokalen Scan

Weltweiter Korpus (etwas Rauschen einplanen), Kontingente für Benachrichtigungen und Jobs, vt-Kontext ohne lokales Gegenstück, Engine YARA-X.

Von der Probe zur Hunting-Regel

Der typische Ablauf: Probe aus dem eigenen Vorfall analysieren, eine Regel mit eindeutigen Strings schreiben, lokal gegen Probe und Goodware testen, dann Retrohunt starten, um frühere Varianten zu finden, und die bewährte Regel schließlich in Livehunt übernehmen. Treffer aus Retrohunt fließen als neue Proben zurück in die Tests.

Gute Praxis

Inhaltsteil lokal im Online-Editor entwickeln und testen.
Performance mit dem Linter prüfen.
Livehunt eng beginnen und erweitern; Retrohunt mit der spezifischsten Version starten.
Jede Hunting-Regel dokumentieren, um sie später stilllegen zu können.
Lizenzen öffentlicher Regeln beachten (Öffentliche Regelsammlungen).

yararules.org ist ein unabhängiges Projekt ohne Verbindung zu VirusTotal oder Google.