YAMA Download - YAMA Código Download

YAMA

Outro código-fonte

Baixar

Yama

Mais um analisador de memória para detecção de malware

Conceito

Yama é um sistema para gerar scanner que pode inspecionar malware específico durante a resposta a incidentes. O scanner gerado por Yama foi projetado para explorar a memória do sistema operacional Windows e detectar malware. Com a crescente prevalência de malware sem arquivo que implanta apenas na memória, Yama pretende facilitar a resposta rápida no manuseio de incidentes, detectando esse malware.

Características

Gerar scanner que opera como um único binário
Detecta malware usando regras YARA e informações de memória
Cria binários de detecção de malware adaptados para as necessidades de IR de cada usuário, escrevendo regras de Yara personalizadas
Detecção de saídas resulta em formato de texto/json

Como o scanner funciona

O Yama Scanner opera como um aplicativo Windows Usermode, analisando os espaços de memória dos processos em execução no modo de usuário, digitalizando espaços de memória com atributos suspeitos usando YARA e identificando malware.

Primeiro, Yama analisa cada processo e extrai as seguintes informações:

Informações sobre endereços do processo
Processo PEB (Process Ambient Block) Estrutura
Processe TEB (estrutura do ambiente de threads)
Região da pilha de processos
Região da pilha de processo
Processar informações do encadeamento
Informações de mapeamento de arquivos para cada espaço de endereço virtual
Informações de assinatura dos arquivos mapeados

Em seguida, Yama determina os espaços de memória a serem inspecionados com base nas informações analisadas. Isso é feito para selecionar apenas os espaços de memória necessários e evitar impactos no desempenho da pesquisa de todo o espaço de memória.

Finalmente, Yama inspeciona os espaços de memória direcionados usando regras YARA incorporadas na seção de recursos do binário.

Caso de uso

Ao combinar regras YARA disponíveis em plataformas como o Github, é possível criar um scanner de memória que possa investigar traços de campanhas de ataque direcionadas específicas.

Por exemplo, a construção de um scanner YAMA usando a regra APT10 do JPCERTCC/JPCERT-YARA criaria uma ferramenta adequada para malware APT10 de caça de ameaças.

O JPCERTCC/JPCERT-YARA oferece inúmeras regras YARA compatíveis com várias campanhas APT, como APT10, APT29, BlackTech e Lazarus, além de regras para diferentes tipos de malware. É altamente recomendado para referência.