Victor M. Alvarez

@dev_metthal No, in such cases it won't help. You are probably thinking about cases in which the same function is called with multiple regexes, right?

@plusvic Very nice Victor, thanks for this! The grouping of regexes seems like a great feature, but it won't probably help cases where regex is accepted as argument to a function, right?

For those who are interested in learning about the recent performance improvements in YARA-X: virustotal.github.io/yara-x/blog/ya…

@cyb3rops @wessorh I guess there's a lot of variance too. Person A can create tons of bad rules within seconds, while person B takes the time to find a pattern that is likely to cover most specimens of a malware family while not producing false positives.

@wessorh @plusvic "to understand how long it takes on average in man hours to write a yara rule." Why would you need that information? It's like asking "how long does it take on average in man hours to create a painting?"

@wessorh Hard to tell. I haven't seen any research in that topic. Maybe @cyb3rops has some relevant metrics, they create a lot of rules.

@plusvic Hi Victor, I've been asking around to understand how long it takes on average in man hours to write a yara rule. Have you any clue where I should be asking this question?

@wessorh That sounds very interesting. If you can point me out to some repository I would take a look. Also, I think it would be great to have a canonical set of rules and files for benchmarking. I can come up with something.

Victor, I've been working on a yara port in golang, would you be open to testing rules, building a test corpus and benchmark suite? It would be fun to work up a ground truth that enables a fair comparison. It'ts been fun attempting to beat your work, I have a great appreciation for your skills in writing both yara-c and yara-x

YARA-X 1.16.0 is out! This time with performance improvements that make it much faster. With this release YARA-X is faster than traditional YARA in almost every case. github.com/VirusTotal/yar…

YARA-X 1.15.0 is out! github.com/VirusTotal/yar…

Do you want to play with YARA-X without installing it? virustotal.github.io/yara-x/playgro… Thanks to Kevin Muñoz for this contribution.

@lucio_enriquez @MartinDandach @grok No, este vídeo probablemente sea de Ucrania. En la ventana hay un peluche de Cheburashka, que fue popular en la URSS pero que dudo que conozcan mucho en Israel. Además... es que en el propio vídeo hablan en una lengua claramente eslava.

@MartinDandach @grok esto es cierto?

Tel Aviv está siendo completamente asediada esta noche. La cúpula de hierro colapsó hace días y ya no puede interceptar los misiles de Irán. La nueva oleada de cohetes de última generación está provocando un desastre. Teherán empezó el proceso de destrucción de Israel. Netanyahu desató un infierno para su pueblo.

@vxunderground My only correction: YARA's VM is actually Turing-complete. Long ago @wxs managed to run Brainfuck programs in the YARA's VM, and Brainfuck is a Turing-complete language. gist.github.com/wxsBSD/31e2e9c…

@vxunderground Thank for your compliments about YARA. It looks like you are being doing in-depth spelunking of the source code, and that's great.

I have a really deep appreciation for YARA and the work VirusTotal's engineers put into YARA. YARA is interesting because they encountered some challenges when developing their static analysis engine and they handled it really, really, really well. Initially I was under the assumption YARA read rules by parsing strings and applying them to binaries in-memory (mapping). However, being a doofus, I failed to consider the fact YARA contains BOOLEAN logic in their rules. Hence, reading the files and parsing them as text wouldn't be able to reliably handle the logic present inside the YARA files. YARA contains an internal VM and transforms the text into byte code. The caveat being the VM isn't turing complete and does not possess any ability to interact with anything else. This was done intentionally though because it acts as a sandbox. Regardless, it uses the transformed byte code to perform operations on the in-memory mapped binary using (sort of) simple logic but containing a custom implemented callstack for doing stuff. Furthermore, YARA also has a custom heap management system (they're using the ARENA algorithm). What makes this even more impressive is all of this written in C, is cross platform for Windows, Linux, and MacOS, and easily compiles. This is a significant software engineering project and they did an extremely good job.

🧠 From binary analysis to YARA rules—without leaving Omnia. Upload a sample, inspect it in hex, and generate YARA rules with AI directly from the file view. Faster analysis. Actionable detection. 📖 Learn more: docs.omniasec.ai/blog/from-bina… 🌐 Visit us: omniasec.ai

We have tools that can help people write. Instead, we use them to make everyone sound the same. I wrote a short blog post on that here: cyb3rops.medium.com/im-sick-of-rea…

@x04steve @cyb3rops sure, why not

@plusvic @cyb3rops perhaps regex for strings too?

Enforcing rule metadata standards has always been fundamental for a good detection engineering practice You can use "metadata validation" in the YARA language server for this and here's a style guide that serves as an inspiration for the meta data value selection github.com/Neo23x0/YARA-S…

Using the YARA Language Server to enforce rule metadata standards: virustotal.github.io/yara-x/blog/en…

And it also includes the first stable version of the VSCode extension: marketplace.visualstudio.com/items?itemName…

YARA-X v1.14.0 has been released! github.com/VirusTotal/yar…

🇨🇺| Lo de Cuba (país donde tengo grandes amigos, de los más cercanos) es una situación tristísima, abierta a muchísimas discusiones, pero que también da para reflexionar largo.👇 El liderazgo de la izquierda global en general y latinoamericana en particular tristemente ya decidió que prefiere morir abrazada a los ídolos de barro del siglo XX, como el castrismo. Al hacerlo, sobre todo, dejan claro lo poco que les importa la gente. No les importa la juventud actual, no les importa buscar soluciones reales a los problemas actuales, no les importa el avance de fuerzas regresivas en materia de derechos sociales. No les importan sufrimientos, o violaciones a derechos humanos. Si les importara, ya empezarían a razonar el delirio de apoyar regímenes rancios que sus propios pueblos desprecian inmensamente. Si les importara, buscarían una salida que el grueso de la gente pueda respaldar, no seguir con los 70 años de un antiimperialismo performático que no ayuda a las personas comunes (porque NO - LOS - AYUDA). Y sobre todo, si les importara, podrían escuchar a los cubanos comunes de dentro y fuera de la isla que dicen que están hartos de "resistir". Que la dicotomía de USA-Régimen no los representa y que solo quieren un país normal. Hay gente que asume la postura "no estoy de acuerdo con Cuba pero Estados Unidos..." y eso es insoportable. Las leyes del embargo estadounidense establecen que se levantaría el embargo si Cuba celebra elecciones. Sí, es una visión "imperialista", pero oponerte a que los cubanos tengan derecho a votar su propio gobierno es una visión miserable. Nadie decente te la va a apoyar. Pero no se trata solo de Cuba. Los latinoamericanos (en especial venezolanos y cubanos, pero en todo el continente pasa igual) se hartaron de escuchar que no comen "por culpa de los yanquis", quieren comer. Si no les podés dar de comer, están dispuestos a darle todo a USA a cambio de que termine un largo relato del que no son protagonistas. Y no importa la opinión, es lo que está pasando. No importa si está mal o no, su hartazgo es totalmente válido. Pero los nostálgicos se acomodaron al statu quo, y un "statu quo revolucionario" o "statu quo de resistencia" es la condena total al fracaso. Nuestras sociedades civiles se han desfondado por completo. La gente no solo está votando populismos conservadores y rechazando partidos. Todas las organizaciones de la sociedad civil, las instituciones, la prensa, todo lo colectivo está marchitándose. Eso no es Cuba ni Venezuela, eso lo veo en mi mismo país todos los días. Y no es que la juventud latinoamericana de hoy sea "más estúpida" o "más individualista" o "más egoísta". El deterioro del discurso parte de un campo global que cree que el pueblo está obligado a sentirse representado por ellos, que se ocupó de ser excluyente con todo lo disonante. Que primó la retórica por sobre la realidad. Recién ahora se ve obligada a darse cuenta de que un movimiento colectivo excluyente está crónicamente condenado a ser minoría, pero Dios sabe si lo hará. Lo de Cuba no se trata solo de una lucha fácticamente perdida porque USA sea imbatible, sino porque es una batalla cultural perdida. No podés pretender estar del lado de un pueblo comprando el discurso de sus opresores y encima insultándolos cuando te dejan en claro que no están de acuerdo. Sigan agitando banderas rancias, sigan diciendo que el régimen cubano no debe hacer nada, que no debe liberar a los más de 1000 presos políticos, ni permitir a sus exiliados retornar, ni habilitar el discurso disidente ni someter al único juicio que importa (el de la voluntad popular) una gestión de casi 70 años. Sigan creyendo que un régimen que invierte millones en construir hoteles de lujo vacíos y que recibió millones en donativos internacionales (de China, Rusia, la India, México y petróleo gratis de Venezuela) no pudo refaccionar un sistema eléctrico en 70 años sólo "por el bloqueo". Si quieren seguir, sigan, las ultraderechas lo agradecerán. La historia no los absolverá. Se la dedico a mi querido amigo @JohnSocialDem21 que luchó en Cuba, que tiene familia dentro y que ha tenido que ver y oír cosas horribles. Un abrazo. Sé que pronto se acerca la hora en que ya no sea ilegal ser tan feliz. #OjosEnCuba #AbajoLaDictaduraCastrista

YARA-X 1.13.0 has been released! github.com/VirusTotal/yar…