Seminar YARA für Malware-Analyse und Reverse Engineering

Seminar / Training

Beschreibung

Der Kurs zeigt, wie Analysebefunde in treffsichere Regeln überführt werden. Nicht jeder gefundene String taugt als Erkennungsmerkmal; genau diese Unterscheidung steht im Vordergrund.

Inhaltsübersicht

• Auswahl belastbarer Merkmale
• Strings, Hex-Muster und Strukturbedingungen
• Kombination von Analysefunden
• Regeltest gegen Varianten
• Dokumentation der Erkennungslogik

Seminarinhalte

Schritt 1: Sample strukturiert untersuchen

Zuerst werden Strings, Importspuren, Dateistruktur, auffällige Konstanten und Konfigurationsreste getrennt gesammelt und bewertet.

Schritt 2: Merkmale klassifizieren

Gefundene Indikatoren werden nach Stabilität, Einzigartigkeit und Manipulierbarkeit sortiert. Generische Strings werden verworfen oder nur in Kombination genutzt.

Schritt 3: Regellogik aufbauen

Aus mehreren Merkmalen entsteht eine Bedingung, die Varianten zulässt, aber Standardsoftware nicht trifft. Wildcards und Zählbedingungen werden gezielt eingesetzt.

Schritt 4: Variantenprüfung durchführen

Die Regel wird gegen nahe Varianten, saubere Dateien und bewusst veränderte Beispiele getestet. Treffer und Nichttreffer werden dokumentiert.

Schritt 5: Regel pflegefähig machen

Metadaten, Kommentare und Tags erklären Zweck, Herkunft der Merkmale und bekannte Grenzen. So bleibt die Regel auch nach Monaten verständlich.

Praxisübungen

• Auswahl stabiler Strings aus einem Analysefall
• Erstellung einer Kombinationsregel
• Test gegen Varianten und Gutdaten
• Überarbeitung einer zu breiten Signatur

Zielgruppe

Geeignet für technische Fachrollen in Security Operations, Incident Response, Malware-Analyse, Forensik, Detection Engineering und Administration sicherheitsrelevanter Plattformen.