YaraSharp

Yarasharp

C# envoltura alrededor de la biblioteca de coincidencia de patrones Yara.

Use firmas de forma Loki o Yara.

El paquete Nuget está disponible

Uso

 //  All API calls happens here
YSInstance YSInstance = new YSInstance ( ) ;
        
//  Declare external variables (could be null)
Dictionary < string , object > externals = new Dictionary < string , object > ( )
{
    { "filename" , string . Empty } ,
    { "filepath" , string . Empty } ,
    { "extension" , string . Empty }
} ;

//	Get list of YARA rules
List < string > ruleFilenames = Directory . GetFiles ( @"D:Testyara" , "*.yar" , SearchOption . AllDirectories ) . ToList ( ) ;

//  Context is where yara is initialized
//  From yr_initialize() to yr_finalize()
using ( YSContext context = new YSContext ( ) )
{
    //	Compiling rules
    using ( YSCompiler compiler = instance . CompileFromFiles ( ruleFilenames , externals ) )
    {
        //  Get compiled rules
        YSRules rules = compiler . GetRules ( ) ;

        //  Get errors
        YSReport errors = compiler . GetErrors ( ) ;
        //  Get warnings
        YSReport warnings = compiler . GetWarnings ( ) ;


        //  Some file to test yara rules
        string Filename = @"" ;

		//  Get matches
		List < YSMatches > Matches = instance . ScanFile ( Filename , rules ,
				new Dictionary < string , object > ( )
				{
					{ "filename" , Alphaleonis . Win32 . Filesystem . Path . GetFileName ( Filename ) } ,
					{ "filepath" , Alphaleonis . Win32 . Filesystem . Path . GetFullPath ( Filename ) } ,
					{ "extension" , Alphaleonis . Win32 . Filesystem . Path . GetExtension ( Filename ) }
				} , 
				0 ) ;

		//  Iterate over matches
		foreach ( YSMatches Match in Matches )
		{
			//...
		}
	}
	//  Log errors
}

Para el uso de escaneo async debe llamar a los métodos de destrucción:

 YaraSharp . CYaraSharp YSInstance = new CYaraSharp ( ) ;
YaraSharp . CContext YSContext = new YaraSharp . CContext ( ) ;
YaraSharp . CRules YSRules = YSInstance . CompileFromFiles ( RuleFilenames , null , out Errors ) ;

//  Async here

YSRules . Destroy ( ) ;
YSContext . Destroy ( ) ; 

Referencia

Documentación de la API de Libyara C para una descripción general sobre cómo usar Libyara.

Características y limitaciones

• Metadatos compatibles
• Outario compatible
• Async Scanning admitido
• Parece (a través de las sesiones de depuración) que los módulos son compatibles, pero no he tenido casos que los usen de manera certificadora. Entonces esta pregunta se abre

Nota

Soultion contiene 2 proyectos:

• Yara -Master: donde puedes actualizar las fuentes de Yara para una nueva versión
• Yarasharp: donde puede modificar las fuentes para agregar / reparar características de envoltura

Otro

Construir en vs 2017

Compilado con Yara 3.8.1

Yara parcheado para admitir rutas Unicode

Puede usar o modificar las fuentes como desee

Un agradecimiento especial a Kallanreed