Una función de VirusTotal que aplica tus reglas YARA a los archivos en el momento de su envío y te avisa de las coincidencias.

Una función de VirusTotal que ejecuta reglas YARA sobre una ventana de archivos enviados en el pasado para encontrar muestras antiguas.

¿Puedo usar el módulo vt fuera de VirusTotal?

Compila con YARA-X, pero sus campos solo los rellena la infraestructura de VirusTotal. En local están indefinidos y las condiciones que dependen de ellos no coinciden.

Una función de VirusTotal que aplica tus reglas YARA a los archivos en el momento de su envío y te avisa de las coincidencias.

Una función de VirusTotal que ejecuta reglas YARA sobre una ventana de archivos enviados en el pasado para encontrar muestras antiguas.

¿Puedo usar el módulo vt fuera de VirusTotal?

Compila con YARA-X, pero sus campos solo los rellena la infraestructura de VirusTotal. En local están indefinidos y las condiciones que dependen de ellos no coinciden.

YARA en VirusTotal: Livehunt y Retrohunt

VirusTotal, donde nació YARA, es uno de los lugares donde más reglas se ejecutan a gran escala. Los nombres y límites de las funciones dependen de tu suscripción; consulta su documentación.

Reglas crowdsourced

VirusTotal ejecuta una selección de conjuntos públicos sobre cada archivo y muestra las reglas que coinciden en el informe, con enlace a su fuente. Muchas proceden de los mismos repositorios que esta biblioteca.

Livehunt

Aplica tus reglas a los archivos nuevos y te notifica: seguir una familia, vigilar variantes de una muestra de tu incidente o archivos que mencionan tu organización. Por el volumen, premia las reglas rápidas (ver rendimiento).

Retrohunt

Aplica reglas a archivos enviados en el pasado dentro de una ventana de retención: «¿esto ya se había visto?». Suele revelar versiones anteriores o herramientas relacionadas. VirusTotal usa YARA-X en producción, así que una regla que compila limpia en el editor se comporta igual allí.

El módulo vt

En Livehunt, vt expone metadatos del envío y de los análisis de VirusTotal. Fuera de VirusTotal compila pero sus campos están indefinidos: separa la lógica de contenido de la lógica vt para poder probar la primera en local.

import "vt"

rule VT_Context_Example
{
    strings:
        $a = "ExampleImplantConfig" ascii
    condition:
        $a and filesize < 5MB
}

Diferencias con el escaneo local

El corpus es mundial (espera algo de ruido), hay cuotas de notificaciones y trabajos, el contexto vt no existe en local y el motor es YARA-X.

Buenas prácticas

Desarrolla y prueba la parte de contenido en local con el editor online.
Revisa el rendimiento con el linter.
Empieza Livehunt de forma estrecha y amplía; lanza Retrohunt con la versión más específica.
Documenta cada regla de caza para poder retirarla.
Respeta las licencias de las reglas públicas (conjuntos públicos).

yararules.org es un proyecto independiente, sin afiliación con VirusTotal ni Google.