Arayは2026年8月20日(現地時間)、YARAルールの検証用として、マルウェアの振る舞いを再現しない良性アーティファクトを決定論的に合成する手法を発表した。これはマルウェアサンプルの配布や保管、継続的インテグレーション、災害復旧訓練、再現性のあるスキャナー検証といった課題を解決するもの。
YARAルールは配布が容易である一方、そのルールに一致するマルウェアサンプルの扱いは困難とされてきた。マルウェアサンプルは保管、継続的インテグレーション、災害復旧訓練、再現性のあるスキャナー検証において課題を伴う。代替となる検証用フィクスチャの構築は単なるリテラルの埋め込み以上の複雑さを要求し、YARA条件は代替要素、カウント、オフセット、整数読み取り、実行可能コンテナ制約などを組み合わせることが可能である。同時に、生成されるファイルがマルウェアの振る舞いを再現しないことが求められる。
Aray (アレイ) は、この課題に対し、決定論的アプローチを重視したYARAインタープリターであり、良性フィクスチャのシンセサイザーとして開発された。このシステムでは、モデルが建設的な正規化や型付き抽出の代替案を提案するものの、バックエンドのソース構造やバイナリ構造に依存することはない。一般的なコードが正規化されたルールを検証し、文字列および整数の証拠を導出し、抽出、ルーティング、衝突チェック付きレイアウト、そしてELF、PE、または汎用的なシリアライゼーションを実行する。
Arayは416の公開ルールエントリに対して評価された。その結果、正規化プロセスは182エントリをモデルの支援なしで受理し、234エントリはモデルによる正規化後に受理された。構築可能性の事前チェックでは406エントリが承認され、承認された全てのフィクスチャが元のルールと一致した。これは全体で416エントリ中406エントリ (97.6%) の一致率に相当し、構築可能なルールにおいては406エントリ中406エントリで一致が確認された。事前チェックで予測された10件の処理結果と、スキャナーの不一致や構築の失敗は発生しなかった。
このツールと研究は、Black Hat USA 2026 Arsenalで発表された。
参考: arXiv cs.CR — 2026年8月21日 13:00 (JST)
原文ハイライト"We present Aray, a deterministic-first YARA interpreter and positive-fixture synthesizer."