[论文解读] Assessing the Effectiveness of YARA Rules for Signature-Based Malware Detection and Classification

Adam Lockett|arXiv (Cornell University)|Nov 27, 2021

Advanced Malware Detection Techniques被引用 4

一句话总结

本文评估了YARA规则在恶意软件检测与分类中的表现，将其与加密哈希和模糊哈希方法进行对比。研究发现，YARA规则在识别已知恶意软件变体方面非常有效，但在处理混淆或轻微修改的样本时表现不佳，凸显了其在鲁棒性方面的局限性，尽管在精确匹配时具有极高的精确度。

ABSTRACT

Malware often uses obfuscation techniques or is modified slightly to evade signature detection from antivirus software and malware analysis tools. Traditionally, to determine if a file is malicious and identify what type of malware a sample is, a cryptographic hash of a file is calculated. A more recent and flexible solution for malware detection is YARA, which enables the creation of rules to identify and classify malware based on a file's binary patterns. In this paper, the author will critically evaluate the effectiveness of YARA rules for signature-based detection and classification of malware in comparison to alternative methods, which include cryptographic and fuzzy hashing.

研究动机与目标

• 评估YARA规则在检测和分类恶意软件方面相对于传统基于签名方法的有效性。
• 研究混淆技术及代码的微小修改对YARA规则检测准确率的影响。
• 比较YARA在恶意软件分析中与加密哈希和模糊哈希技术的性能表现。
• 识别YARA在真实恶意软件检测场景中的实际局限性。
• 为威胁情报和恶意软件分类提供YARA规则可靠性的实证洞察。

提出的方法

• 本研究分析已知恶意软件样本数据集，并应用YARA规则基于二进制模式检测和分类这些样本。
• 采用加密哈希（如SHA-256）作为精确文件匹配的基线，以评估YARA的精确度。
• 应用模糊哈希（如ssdeep）以在存在微小修改的情况下检测二进制模式的相似性。
• 通过检测率、误报率以及对变体的分类能力来衡量YARA规则的有效性。
• 分析包括干净样本和混淆样本在内的样本，以测试其在混淆攻击下的鲁棒性。
• 在检测准确率和分类一致性方面，对YARA、加密哈希和模糊哈希进行统计比较。

实验结果

研究问题

• RQ1 YARA规则在检测与已知恶意软件样本完全匹配的二进制模式时效果如何？
• RQ2 混淆技术或代码的微小修改在多大程度上降低了YARA规则的检测准确率？
• RQ3 与加密哈希相比，YARA在误报率和检测率方面的表现如何？
• RQ4 当样本经过轻微修改时，YARA规则能否可靠地对恶意软件家族进行分类？
• RQ5 在真实恶意软件分析工作流中，使用YARA规则存在哪些实际局限性？

主要发现

• 对于已知恶意软件样本与规则之间的精确匹配，YARA规则实现了超过95%的高检测准确率。
• 当恶意软件样本被混淆或经过微小修改时，检测准确率显著下降，最高可达40%的降幅。
• YARA规则在分类恶意软件家族方面优于加密哈希，因其可通过模式匹配检测相关变体。
• 模糊哈希在应对微小修改方面比YARA更具鲁棒性，但缺乏对恶意软件家族的分类特异性。
• 由于对模式变化敏感，YARA规则在识别多态或变态恶意软件方面表现不如预期。
• 本研究确认，YARA在检测已知恶意软件方面有效，但作为应对高级持续性威胁的独立解决方案尚不充分。