Glosario YARA
Definiciones breves de los términos usados en las guías y herramientas.
- Alternativa (hex)
- Una alternativa en una cadena hexadecimal YARA, escrita ( A | B ), acepta una de varias secuencias, incluso de distinta longitud.
- Átomo (atom)
- Un átomo es la secuencia fija corta que YARA extrae de cada patrón y busca primero; su calidad determina la velocidad.
- Modificador base64
- Los modificadores base64 y base64wide encuentran una cadena YARA tras codificarla en base64, en cualquier alineación.
- Condición
- La condición es la expresión booleana que decide si una regla YARA coincide, combinando patrones, propiedades del archivo y módulos.
- Detection Rule License (DRL)
- La Detection Rule License 1.1 permite usar y compartir reglas de detección conservando autor, enlace y licencia.
- Falso positivo
- Un falso positivo es una coincidencia YARA con un archivo que la regla no pretende detectar, normalmente software legítimo.
- filesize
- filesize es la palabra clave de YARA con el tamaño en bytes de los datos escaneados, útil como comprobación barata.
- fullword
- El modificador fullword exige que una cadena YARA esté delimitada por caracteres no alfanuméricos, no dentro de otra palabra.
- Regla global
- Una regla YARA global actúa como filtro: si es falsa para un archivo, ninguna otra regla del mismo espacio de nombres coincide.
- Corpus de goodware
- Un corpus de goodware es un conjunto de archivos limpios para probar reglas YARA contra falsos positivos antes de desplegarlas.
- Cadena hexadecimal (hex string)
- Una cadena hexadecimal YARA describe bytes en bruto entre llaves, con comodines, medios bytes, saltos y alternativas.
- IOC (indicador de compromiso)
- Un indicador de compromiso es un artefacto observable de una intrusión: hash, dominio, mutex o patrón de archivo.
- Salto (jump)
- Un salto en una cadena hexadecimal YARA, escrito [n-m], acepta entre n y m bytes cualesquiera entre dos partes fijas.
- Livehunt
- Livehunt es la función de VirusTotal que aplica tus reglas YARA a los archivos recién enviados y avisa de las coincidencias.
- Sección meta
- La sección meta documenta una regla YARA con pares clave/valor: descripción, autor, fecha, referencia, hashes y más.
- Módulo
- Los módulos YARA añaden a las condiciones formatos de archivo analizados y funciones: pe, elf, dotnet, math, hash…
- Espacio de nombres (namespace)
- Un espacio de nombres agrupa reglas YARA compiladas juntas; los nombres solo tienen que ser únicos dentro de él.
- nocase
- El modificador nocase hace que una cadena o regex YARA ignore mayúsculas y minúsculas, a costa de rendimiento en cadenas cortas.
- Regla private
- Una regla YARA private se evalúa y otras reglas pueden usarla, pero nunca se informa como coincidencia por sí sola.
- Expresión regular (regex)
- Las regex de YARA son patrones entre barras con sintaxis tipo Perl, para lo que el texto o el hexadecimal no pueden expresar.
- Retrohunt
- Retrohunt es la función de VirusTotal que ejecuta reglas YARA sobre archivos enviados en el pasado para encontrar muestras antiguas.
- Etiqueta de regla
- Las etiquetas se declaran tras el nombre de una regla YARA; no influyen en la coincidencia y sirven para filtrar y agrupar.
- Regla (rule)
- Una regla YARA es un bloque con nombre que contiene metadatos y patrones opcionales y una condición booleana obligatoria.
- Modificador de cadena
- Los modificadores ascii, wide, nocase, fullword, xor, base64 y private cambian cómo se busca y se muestra un patrón YARA.
- Sección strings
- La sección strings declara los patrones que busca una regla YARA: texto, hexadecimal y expresiones regulares, con modificadores.
- Cadena de texto
- Una cadena de texto YARA es un literal entre comillas que se compara byte a byte, con escapes y modificadores opcionales.
- wide
- El modificador wide busca una cadena YARA codificada en UTF-16LE, con cada carácter ASCII seguido de un byte nulo.
- Comodín (wildcard)
- En una cadena hexadecimal YARA, ?? acepta cualquier byte y un ? solo medio byte, para ignorar los bytes que cambian.
- Modificador xor
- El modificador xor hace que YARA busque también la cadena con XOR de cada clave de un byte, opcionalmente en un rango.
- YARA Forge
- YARA Forge reúne, prueba y puntúa reglas YARA públicas y las publica cada semana en los paquetes core, extended y full.
- YARA-X
- YARA-X es la reescritura en Rust de YARA hecha por VirusTotal: mismo lenguaje, análisis más estricto, errores más claros y más rendimiento.
- YARA
- YARA es un motor de código abierto de búsqueda de patrones y un lenguaje de reglas para identificar y clasificar malware.