Yara Docs 사용법 및 Epoch 시간 변환 실습

기초적인 Yara Rule부터 작성

만들긴 했는데 이 난해한 조건을 어떻게 표현해야할 지 뚜렷히 감이 잡히지 않음

즉, 표현 방법을 몰라 Yara Rule 작성 불가

이 때 Yara Document 페이지를 이용

Yara의 사용법이 담긴 백과사전

GUI 형태를 감지하는 Yara를 찾고 싶으니, GUI를 검색하고 PE 모듈이 써있는 것을 클릭

사용법을 획득, 이를 토대로 Yara Rule 작성

GUI 감지하는 Rule 추가 완료

이제 시간 정보를 탐지하는 Rule을 검색

timestamp는 epoch 시간으로 인식하는 조건을 가짐

이를 위해 Epoch Converter에 접속

여기서 2015/1/1/00:00:00 ~ 2017/12/31/11:59:59를 검색

Epoch값을 획득하였음

이를 Yara Rule에 적용

조건을 만족하는 파일 1개를 선별