YARA-X 1.22.0 ergänzt die Regelsprache um 64-Bit-Ganzzahl-Leser
Victoria Shinder1 Min. LesezeitYARA-X 1.22.0 ist erschienen und bringt 11 Verbesserungen sowie neun Fehlerbehebungen, wie Didier Stevens am 25. Oktober beim SANS Internet Storm Center vermerkte. Für Regelautoren sticht ein Satz eingebauter Funktionen heraus, die 64-Bit-Ganzzahlen direkt lesen: int64, int64be, uint64 und uint64be — vorzeichenbehaftet und -frei, in beiden Byte-Reihenfolgen. YARA-X ist die Rust-Neuimplementierung von YARA, der Mustererkennungs-Engine in Malware-Triage und Threat Hunting.
Was das bedeutet
Die klassischen YARA-Ganzzahlfunktionen endeten bei 32 Bit, was jedes Mal zu umständlichen Behelfen zwang, wenn eine Regel ein 64-Bit-Feld lesen musste — Dateioffsets, Größen und Zeitstempel moderner Formate sprengen 32 Bit regelmäßig, und PE, ELF und Mach-O tragen allesamt 64-Bit-Strukturen. Sie als zwei Hälften zu lesen und wieder zusammenzusetzen ist genau die fummelige Rechnerei, die eine Regel schwer prüfbar und leicht fehlerhaft macht, zumal über Byte-Reihenfolgen hinweg. Native int64- und uint64-Leser mit ausdrücklichen Big-Endian-Varianten lassen eine Regel diese Felder so ansprechen, wie das Dateiformat sie definiert. Eine kleine Ergänzung, die eine wiederkehrende Quelle stiller Fehler in der Erkennungslogik beseitigt.