Condiciones YARA: recuentos, posiciones y bucles

La condición es donde la regla decide. Los patrones solo dicen qué se encontró; la condición dice qué combinación de hallazgos, junto con las propiedades del archivo, constituye una detección.

Lógica booleana

Un identificador de patrón solo es verdadero si el patrón apareció al menos una vez. Se combinan con and, or, not y paréntesis:

rule Boolean_Logic
{
    strings:
        $a = "LoaderInit" ascii
        $b = "GetProcAddress" ascii
        $c = "debug build" ascii
    condition:
        ($a and $b) and not $c
}

Recuentos, posiciones y longitudes

rule Counts_And_Offsets
{
    strings:
        $mz = "MZ"
        $section = ".text" ascii
        $marker = { DE AD BE EF }
    condition:
        $mz at 0 and #section >= 1 and $marker in (0..0x10000) and @marker[1] > 0x200
}

Tamaño y magic bytes

filesize es el tamaño en bytes (admite KB y MB). uint8/16/32 e int8/16/32 leen un entero en un offset (little-endian) y sus variantes be en big-endian:

rule PE_With_PE_Header_Check
{
    condition:
        uint16(0) == 0x5A4D and
        uint32(uint32(0x3C)) == 0x00004550 and
        filesize < 10MB
}

La segunda línea sigue el puntero e_lfanew en 0x3C y comprueba la firma PE\0\0, sin cargar el módulo pe. La división entera se escribe \ (filesize \ 2).

Conjuntos y cuantificadores

rule Quantifier_Example
{
    strings:
        $x1 = "stage2_payload" ascii
        $x2 = "BeaconSleep" ascii
        $s1 = "cmd.exe" ascii
        $s2 = "rundll32" ascii
        $fp = "Microsoft Corporation" wide
    condition:
        uint16(0) == 0x5A4D and not $fp and (1 of ($x*) or 2 of ($s*))
}

Esta estructura «un indicador muy específico O varios débiles» es la base de muchas reglas públicas (ver convenciones).

Bucles

rule Loop_Examples
{
    strings:
        $hdr = { 50 4B 03 04 }
        $a = "config" ascii
        $b = "payload" ascii
    condition:
        for any i in (1..#hdr) : ( uint16(@hdr[i] + 26) > 64 ) and
        for all of ($a, $b) : ( # >= 2 )
}

Dentro de for … of, $, # y @ se refieren al patrón actual. Limita los bucles con recuentos (1..#a), nunca con filesize.

Variables locales con with (YARA-X)

rule With_Example
{
    condition:
        with pe_offset = uint32(0x3C) : (
            uint16(0) == 0x5A4D and pe_offset < filesize and uint32(pe_offset) == 0x00004550
        )
}

Las reglas con with no compilan con YARA 4.x.

El orden importa

YARA evalúa de izquierda a derecha y se detiene en cuanto conoce el resultado: pon primero lo barato y selectivo (magic bytes, filesize) y al final lo caro (módulos, math.entropy, bucles). Ver rendimiento y el linter; prueba los ejemplos en el editor y sigue con los módulos.