YARA

1️⃣ YARA란?

YARA는 악성코드 탐지 및 분석을 위해 널리 사용되는 규칙 기반 패턴 매칭 도구입니다.

• 이름 유래: 원래 **“Yet Another Recursive Acronym”**의 약자로, “악성코드를 탐지하는 규칙 작성 도구”를 의미합니다.
• 주 용도: 파일, 메모리, 프로세스 등에서 악성코드, 의심 코드, 특정 패턴을 식별

즉, 보안 연구자나 포렌식 분석가가 특정 악성코드 특성을 규칙(rule)으로 정의하여 탐지할 수 있게 해주는 도구입니다.

---

2️⃣ YARA의 핵심 개념

(1) Rule (규칙)

YARA는 규칙 단위로 패턴을 정의합니다.
규칙 구조는 일반적으로 다음과 같습니다.

rule ExampleRule
{
    meta:
        author = "Analyst"
        description = "Detects Example Malware"
        date = "2025-09-10"
    strings:
        $a = "malicious_text"
        $b = { 6A 40 68 00 30 00 00 }
    condition:
        $a or $b
}

• meta: 규칙에 대한 메타데이터 (작성자, 설명, 날짜 등)
• strings: 탐지할 문자열 또는 바이트 패턴 정의
• condition: 문자열 패턴이 탐지될 조건 정의

---

(2) Strings (문자열 / 바이트 시그니처)

• 텍스트 문자열: "malicious_function"
• Hex 패턴: { 6A 40 68 00 30 00 00 }
• 정규 표현식: /evil.*pattern/
• 여러 문자열을 조합해 복잡한 조건을 정의 가능

---

(3) Condition (탐지 조건)

• 규칙이 탐지되기 위한 논리 조건 정의
• 예: $a or $b → $a 또는 $b 중 하나만 발견돼도 탐지
• AND, OR, NOT, COUNT, SIZE 등의 연산자를 지원

---

3️⃣ YARA 사용 예시

• 악성코드 샘플 탐지: 특정 바이러스, 트로이목마, 랜섬웨어 패턴 탐지
• APT 공격 캠페인 조사: 공격자가 사용하는 특정 툴, 스크립트, 파일 식별
• 디지털 포렌식: 메모리 덤프, 로그 파일, 문서에서 악성 패턴 검출
• 자동화 분석: 보안 솔루션에서 악성 파일 실시간 탐지

---

4️⃣ 기술적 특징

• 멀티플랫폼 지원: Windows, Linux, macOS 등에서 사용 가능
• Python 연동 가능: yara-python 라이브러리를 통해 스크립트 자동화
• 경량·효율적: 정규표현식과 유사한 방식으로 빠른 패턴 매칭
• 커뮤니티 규칙 공유 가능: 공개 규칙을 통해 최신 악성코드 대응

---

5️⃣ 기술사 수준 포인트

• YARA는 단순 문자열 탐지를 넘어서 바이트코드, PE 헤더, 문자열 패턴, 정규표현식, 논리 조건까지 포괄하여 악성코드 시그니처를 작성할 수 있는 정밀 탐지 도구입니다.
• 다른 탐지 기술과 달리 커스텀 규칙 기반 탐지가 가능하며, APT 공격이나 Zero-day 악성코드 탐지에도 활용됩니다.
• 보안 자동화, 디지털 포렌식 분석, 악성코드 연구에서 필수적인 도구로 자리잡고 있습니다.

---