yara-agent

Skanowanie malware YARA na agentach Wazuh siatki zahadun, wyzwalane zmianą pliku w katalogu webowym (FIM → active-response).

Reguły	YARA-Forge core (~5169 sygnatur)
Wyzwalacz	zmiana w /var/www → reguła 100400 na managerze
Trafienie	reguła 100410 (poziom 12) → alert i powiadomienie
Systemy	Debian 12/13, Ubuntu 22.04/24.04

Nie otwiera żadnego portu. YARA działa lokalnie, a polecenia active-response przychodzą istniejącym połączeniem agent→manager (1514, wychodzące).

---

Instalacja

git clone https://<uzytkownik>:<token>@xanadu.netbird.selfhosted:3000/peer-fin/yara-agent.git
cd yara-agent
sudo bash install.sh yara-forge-core.yar

Plik reguł (7,9 MB) nie jest trzymany w repozytorium — pobierz go z dystrybucji mesh albo pozwól skryptowi ściągnąć z GitHuba:

curl -fsSLO http://100.111.20.12:8080/yara-forge-core.yar

Skrypt szuka reguł w tej kolejności: argument → obok skryptu → /home/divi → GitHub. Dzięki temu działa też na maszynach z ufw default deny outgoing.

Co robi instalator

1. Instaluje yara i python3.
2. Umieszcza reguły w /var/ossec/etc/yara/rules/.
3. Wgrywa /var/ossec/active-response/bin/yara.sh (bez jq; ścieżkę z FIM parsuje python3; pomija pliki > 10 MB).
4. Restartuje agenta.

---

Test poprawności

printf '<?php @eval($_POST[1]);?>' | sudo tee /var/www/html/__test.php >/dev/null
sleep 10
sudo grep 'wazuh-yara' /var/ossec/logs/active-responses.log | tail -3
sudo rm -f /var/www/html/__test.php

Oczekiwany wpis:

wazuh-yara: INFO - Scan result: SIGNATURE_BASE_WEBSHELL_PHP_Generic_Eval /var/www/html/__test.php

Na managerze pojawi się wtedy reguła 100410 na poziomie 12.

---

Uwagi

• Maszyny bez katalogu /var/www mogą mieć to zainstalowane bez szkody — active-response po prostu nic nie znajdzie.
• Reguły YARA-Forge warto odświeżać (nowe sygnatury); wystarczy podmienić plik w /var/ossec/etc/yara/rules/ i zrestartować agenta.
• Uprawnienia: yara.sh = 750 root:wazuh, katalog reguł 750.