AutoPYara gera regras YARA mais precisas para agrupar familias de malware em resposta a incidentes
Pesquisadores apresentaram o AutoPYara, pacote Python open-source que melhora a geracao automatica de regras YARA a partir de clusters de amostras de malware. A ferramenta usa selecao de centroide por hashing de similaridade e uma heuristica de subclusters baseada em dados historicos do VirusTotal para lidar com a diversidade intra-familiar que degradava a qualidade das regras no AutoYara, estado da arte anterior.
O AutoPYara ataca um problema concreto da rotina de resposta a incidentes: quando um analista recebe um lote de amostras de malware supostamente da mesma familia, ele precisa transformar esse cluster em uma assinatura (regra YARA) que detecte variantes futuras sem gerar excesso de falsos positivos. O AutoYara, ferramenta de referencia da Sophos, fazia isso extraindo strings e bytes comuns entre amostras de um cluster, mas seu desempenho cai quando o cluster e ruidoso ou quando a familia tem subvariantes com comportamentos distintos — cenario comum em datasets reais, fora dos benchmarks controlados.
Tecnicamente, o AutoPYara introduz duas mudancas. Primeiro, em vez de escolher a amostra central do cluster de forma ingênua, ele aplica hashing de similaridade (tecnica tambem usada em deduplicacao forense, como o ssdeep) para identificar a amostra que melhor representa o centroide real do grupo. Segundo, ele estima subclusters dentro de uma mesma familia usando o historico de deteccoes do VirusTotal como sinal supervisionado, permitindo gerar regras separadas para subvariantes em vez de uma unica regra generica e fragil.
Os autores reportam ganho de 14 pontos percentuais em cobertura de deteccao, reducao de 7,1 pontos percentuais na variancia entre execucoes e melhoria de 10% na acuracia de threat hunting, comparado ao AutoYara. Esses numeros importam na pratica porque regras YARA ruidosas (com baixa cobertura ou alta variancia) geram retrabalho manual do analista de malware, que precisa revisar e ajustar a regra a mao antes de usa-la em triagem de incidentes ou cacas a ameacas em larga escala.
Para equipes de resposta a incidentes e laboratorios de malware, a relevancia esta em acelerar a etapa de triagem: menos tempo entre a ingestao de um lote de amostras e a disponibilidade de uma assinatura confiavel para IDS, EDR ou scanners de disco/memoria. Por ser open-source e instalavel via pip, a ferramenta tende a ser adotada rapidamente por times de CTI e DFIR que ja usam YARA como peca central de seus playbooks de deteccao e investigacao de malware.