Qué es YARA y para qué sirve

Bienvenida

Bienvenido a YARA: reglas para reconocer archivos. Esta píldora es para quien empieza en un equipo defensivo, en soporte o en un SOC, y un día recibe un informe de amenazas con un bloque de texto raro al final que dice rule. Al terminar podrá leer y escribir una regla con sus secciones meta, strings y condition, probarla con el comando yara y corregir falsos positivos.

No necesita saber programar; sí una máquina virtual con Linux (o un equipo Windows) donde instalar YARA. Son cuatro lecciones, un laboratorio con misión verificable y una evaluación final de 4 preguntas: unos 50 minutos.

Qué es YARA

YARA es una herramienta libre que revisa archivos y les hace una sola pregunta: ¿cumple esta descripción? La descripción se llama regla y la escribe una persona. Si el archivo contiene los textos o bytes que la regla pide, y además cumple la condición, YARA imprime el nombre de la regla y la ruta del archivo. Si no, no dice nada.

Una regla no dice "este archivo es malicioso". Dice algo como "busque archivos que tengan esta frase, esta firma al inicio y pesen menos de 20 KB". Que eso signifique malware o no es una conclusión suya, no de la herramienta.

De dónde viene y por qué importa

La creó Víctor Manuel Álvarez, de VirusTotal, y hoy es un proyecto de código abierto en GitHub. El nombre, según su autor, es un acrónimo en broma: Yet Another Ridiculous Acronym, "otro acrónimo ridículo más".

Lo que la hizo importante es que se volvió un idioma común. La misma regla corre en la consola de un analista, en una plataforma de análisis de muestras y en el informe que publica otro equipo. Aprender a leerla le sirve aunque nunca escriba una desde cero.

Para qué se usa

En un equipo defensivo, YARA aparece en situaciones muy concretas. Un analista recibe un adjunto sospechoso y lo compara contra reglas de familias conocidas. En una respuesta a incidentes, lo que se encontró en el primer equipo se convierte en regla y se recorre el resto de los servidores buscando lo mismo. Muchas pasarelas de correo, antivirus y plataformas de análisis aceptan reglas YARA, así que una regla bien escrita viaja entre herramientas. Los informes de amenazas publican reglas junto a los indicadores para que otros equipos busquen en su casa. Y también sirve para algo menos dramático: encontrar un documento marcado como confidencial en una carpeta pública.

Qué YARA no es

No es un antivirus. No limpia, no pone en cuarentena y por sí sola no vigila en tiempo real. Tampoco entiende lo que hace un programa: busca patrones estáticos en el contenido. Por eso una regla mal pensada marca cientos de archivos inocentes, y una demasiado estrecha deja pasar una variante que cambió una palabra.

Hash frente a regla

Un hash identifica exactamente un archivo. Si el atacante cambia un byte, el hash cambia y la búsqueda no encuentra nada. Una regla YARA describe rasgos que se repiten entre variantes: frases de una nota de rescate, nombres de funciones, una secuencia de bytes característica. Esa flexibilidad es la ventaja y también el riesgo, y la mitad de esta píldora trata de manejar ese riesgo.

En la siguiente lección desarma una regla en sus tres partes: meta, strings y condition.