settembre 2, 2020
Imparare a usare le regole YARA: prevedere i cigni neri
È da molto, molto tempo che l’umanità non viveva un anno come questo. Non credo di aver mai assistito a un anno con una così alta concentrazione di cigni neri di vari tipi e forme. E non intendo quelli con le piume. Parlo di eventi inaspettati con conseguenze di vasta portata, secondo la teoria di Nassim Nicholas Taleb, pubblicata nel 2007 nel suo libro Il cigno nero. Uno degli elementi principali della teoria è che, con il senno di poi, gli eventi sorprendenti già accaduti sembrano ovvi e prevedibili; tuttavia, prima che accadano, nessuno li prevede.
Esempio: questo orrendo virus che da marzo ha messo il mondo in isolamento. Si è scoperto che c’è un’intera famiglia estesa di coronaviridae, con decine di virus, e ne vengono trovate regolarmente di nuovi. Gatti, cani, uccelli e pipistrelli ne vengono infettati. Anche gli esseri umani. Alcuni causano raffreddori comuni. Altri si manifestano… in modo diverso. Quindi, sicuramente, dobbiamo sviluppare vaccini per loro come abbiamo fatto per altri virus mortali come il vaiolo, la poliomielite e altre malattie. Certo, ma avere un vaccino non sempre aiuta. Basti pensare all’influenza, ancora nessun vaccino risolve il problema, dopo quanti secoli? E comunque, anche per iniziare a sviluppare un vaccino è necessario sapere cosa si sta cercando, e questa è più arte che scienza.
Allora, perché vi sto dicendo tutto questo? Qual è la connessione con… beh, sarà inevitabilmente o la sicurezza informatica o i viaggi esotici, giusto?! Oggi, è il primo caso.
Ora, una delle più pericolose minacce informatiche esistenti è quella degli zero-day, rare, sconosciute (a chi si occupa di sicurezza informatica e non) vulnerabilità nei software che possono provocare danni su larga scala, ma che tendono a rimanere sconosciute fino a (o talvolta dopo) il momento in cui vengono sfruttate.
Tuttavia, gli esperti di sicurezza informatica hanno alcune armi per affrontare l’ambiguità e per prevedere i cigni neri. In questo post voglio parlare di una di queste armi: YARA.
In breve, YARA aiuta la ricerca e l’individuazione dei malware identificando i file che soddisfano determinate condizioni e fornendo un approccio basato su delle regole per creare descrizioni di famiglie di malware mediante modelli testuali o binari (oh, sembra complicato. Continuate a leggere per maggiori chiarimenti). Così, questo sistema viene utilizzato per la ricerca di malware simili identificando determinate caratteristiche. L’obiettivo è quello di poter dire che certi programmi dannosi sembrano essere stati creati dalle stesse persone, con obiettivi simili.
Ok, passiamo a un’altra metafora simile a quella del cigno nero, ma a tema marino.
Diciamo che la vostra rete è l’oceano, che è pieno di migliaia di tipi di pesci, e che siete un pescatore industriale che si trova nell’oceano con la nave che getta enormi reti alla deriva per catturare i pesci, ma solo alcune specie (malware creati da particolari gruppi di hacker) sono interessanti per voi. Ora, la rete da posta è particolare. Ha compartimenti speciali e in ognuno di essi vengono catturati solo pesci di una determinata razza (caratteristiche del malware).
Poi, alla fine del turno, si raccolgono un sacco di pesci, tutti suddivisi in compartimenti, alcuni dei quali sono pesci relativamente nuovi, mai visti prima (nuovi campioni di malware) di cui non si sa praticamente nulla. Ma se si trovano in un certo compartimento, diciamo: “Sembra la specie [gruppo di hacker] X” o “Sembra la specie [gruppo di hacker] Y”.
Ecco un caso che illustra la metafora pesci/pesca. Nel 2015, il nostro guru di YARA e capo del GReAT, Costin Raiu, si è dedicato completamente alla cyber-ricerca per individuare un exploit nel software Silverlight di Microsoft. Dovreste davvero leggere quell’articolo, ma, brevemente, ciò che Raiu ha fatto è stato esaminare attentamente la corrispondenza e-mail fatta trapelare da alcuni hacker per assemblare una regola YARA praticamente dal nulla, il che ha portato a trovare l’exploit e quindi a proteggere il mondo da questo grande problema. (La corrispondenza proveniva da un’azienda italiana chiamata Hacking Team, hacker che hackerano altri hacker!)
Quindi, a proposito di queste regole di YARA…
Da anni insegniamo l’arte di creare le regole YARA. Le minacce informatiche che YARA aiuta a scovare sono piuttosto complesse, ecco perché abbiamo sempre tenuto i corsi di persona, offline, e solo per un ristretto gruppo di ricercatori di alto livello nel campo della sicurezza informatica. Naturalmente, da marzo, la formazione offline è stata difficile a causa dell’isolamento; tuttavia, il bisogno di formazione non è quasi scomparso, e in effetti non abbiamo visto alcun calo di interesse nei nostri corsi.
È naturale che i cybercriminali continuino a pensare ad attacchi sempre più sofisticati, ancor più durante il lockdown. Di conseguenza, tenere le nostre conoscenze specialistiche su YARA per noi stessi durante il lockdown stato semplicemente sbagliato. Per questo motivo: (1) siamo passati da una formazione offline a online e (2) l’abbiamo resa accessibile a tutti. Non è un corso gratuito, ma per questo livello (il più alto) il prezzo è molto competitivo e giusto per il mercato.
Continua a leggere:Imparare a usare le regole YARA: prevedere i cigni neri
