YarGen (Python) を、Florian Roth で書き直します。

概要

yarGen-Go は、マルウェアファイルで見つかった文字列から YARA ルールを生成し、すべての文字列を削除しても良いファイルに表示されます。 それは下記のものを含んでいます:

• yargen - 主要な規則の発電機(CLI + Webサーバー)
• yargen-util - データベース管理ユーティリティ

はじめる

Linux/macOS:

1. 前提条件: インストール ゴー 1.22+ 2.ビルド: リポジトリをクローンするか、ZIPをダウンロードし、それを抽出します 3。 バイナリービルド: 次のコマンドを実行します。

4。データベース: ./yargen-util updateを実行して、グッドウェアデータベースをダウンロード 5.設定(オプション): [config/config.example.yml]を[config/config.yaml]にコピーし、LM APIキーを設定 6.使用: [./yargen serveを実行し、[http://127.0.0.1:8080でWeb UIを開きます

Windows:

1. 前提条件: インストール ゴー 1.22+ 2.ビルド: リポジトリをクローンするか、ZIPをダウンロードし、それを抽出します 3。 バイナリービルド: 次のコマンドを実行します。

4。データベース: [`yargen-util.exe update`を実行して、グッドウェアデータベースをダウンロード 5.設定(オプション): [`.\config\config.example.yml`]を[`.\config\config.yaml`]にコピーし、LM APIキーを設定 6.使用: 実行`.

yarGen-Go

A Go rewrite of yarGen (Python) by Florian Roth - an automatic YARA rule generator.

Overview

yarGen-Go generates YARA rules from strings found in malware files while removing all strings that also appear in goodware files. It includes:

• yargen - Main rule generator (CLI + web server)
• yargen-util - Database management utility

Getting Started

Linux/macOS:

1. Prerequisites: Install Go 1.22+
2. Build: Clone repository or download the ZIP and extract it
3. Build binaries: Run the following commands:

   go mod tidy
   go build -o yargen ./cmd/yargen
   go build -o yargen-util ./cmd/yargen-util
   

4. Databases: Run ./yargen-util update to download goodware databases
5. Configure (Optional): Copy config/config.example.yml to config/config.yaml and set your LLM API key
6. Use: Run ./yargen serve and open the Web UI at http://127.0.0.1:8080

Windows:

1. Prerequisites: Install Go 1.22+
2. Build: Clone repository or download the ZIP and extract it
3. Build binaries: Run the following commands:

   go mod tidy
   go build -o yargen.exe .\cmd\yargen
   go build -o yargen-util.exe .\cmd\yargen-util
   

4. Databases: Run yargen-util.exe update to download goodware databases
5. Configure (Optional): Copy .\config\config.example.yml to .\config\config.yaml and set your LLM API key
6. Use: Run .\yargen.exe serve and open the Web UI at http://127.0.0.1:8080

📖 For detailed setup instructions, see the Step-by-Step Setup Guide

Features

• ASCII and UTF-16LE (wide) string extraction
• Opcode extraction from PE/ELF executables
• Encoding detection: Base64, hex-encoded, reversed strings
• Magic header and filesize conditions
• Super rule generation (overlapping string patterns across files)
• Customizable scoring rules (SQLite-backed, editable via Web UI)
• Efficient LLM integration for string selection (OpenAI, Anthropic, Gemini, Ollama)
  • Only submits prefiltered top candidates (no goodware strings, max 500 from automatic evaluation)
  • Requests numbered list instead of full strings to minimize token usage
  • Significantly reduces API costs compared to naive approaches
• Web UI for rule generation and scoring rules management

Installation (Alternative Methods)

Using Pre-built Binaries

Download pre-built binaries from the Releases page for your platform.

Using Go Install

go install github.com/Neo23x0/yarGen-Go/cmd/yargen@latest
go install github.com/Neo23x0/yarGen-Go/cmd/yargen-util@latest

Binaries will be installed to $GOPATH/bin or $HOME/go/bin (add to PATH if needed).

Usage

CLI Mode

# Basic usage
yargen -m ./malware-samples

# With options