A Go rewrite of yarGen (Python) by Florian Roth — автоматический генератор правил YARA.

Обзор

yarGen-Go генерирует правила YARA из строк, найденных в файлах вредоносных программ, удаляя все строки, которые также появляются в файлах хорошего программного обеспечения. Он включает в себя:

yargen - Генератор основных правил (CLI + веб-сервер) yargen-util - Утилита управления базами данных

Начало работы

**Linux/macOS: **

1. ** Предпосылки: ** Установить Go 1.22+

2. ** Строительство: ** Репозиторий клонов или скачать ZIP и извлечь его

3. **Построить двоичные файлы: ** Выполните следующие команды:

4. ** Базы данных: ** Запустите ./yargen-util update для загрузки хороших программных баз данных

5. ** Настройка (необязательно): ** Копирование config/config.example.yml в config/config.yaml и установка ключа LLM API

6. **Использовать: ** Запустить ./yargen serve и открыть веб-интерфейс на http://127.0.0.1:8080

Окна:

1. ** Предпосылки: ** Установить Go 1.22+

2. ** Строительство: ** Репозиторий клонов или скачать ZIP и извлечь его

3. **Построить двоичные файлы: ** Выполните следующие команды:

4. ** Базы данных: ** Запустите yargen-util.exe update для загрузки хороших программных баз данных

5. ** Настройка (необязательно): ** Копирование .\config\config.example.yml в .\config\config.yaml и установка ключа LLM API

6. Использовать: Запустить’.

yarGen-Go

A Go rewrite of yarGen (Python) by Florian Roth - an automatic YARA rule generator.

Overview

yarGen-Go generates YARA rules from strings found in malware files while removing all strings that also appear in goodware files. It includes:

• yargen - Main rule generator (CLI + web server)
• yargen-util - Database management utility

Getting Started

Linux/macOS:

1. Prerequisites: Install Go 1.22+
2. Build: Clone repository or download the ZIP and extract it
3. Build binaries: Run the following commands:

   go mod tidy
   go build -o yargen ./cmd/yargen
   go build -o yargen-util ./cmd/yargen-util
   

4. Databases: Run ./yargen-util update to download goodware databases
5. Configure (Optional): Copy config/config.example.yml to config/config.yaml and set your LLM API key
6. Use: Run ./yargen serve and open the Web UI at http://127.0.0.1:8080

Windows:

1. Prerequisites: Install Go 1.22+
2. Build: Clone repository or download the ZIP and extract it
3. Build binaries: Run the following commands:

   go mod tidy
   go build -o yargen.exe .\cmd\yargen
   go build -o yargen-util.exe .\cmd\yargen-util
   

4. Databases: Run yargen-util.exe update to download goodware databases
5. Configure (Optional): Copy .\config\config.example.yml to .\config\config.yaml and set your LLM API key
6. Use: Run .\yargen.exe serve and open the Web UI at http://127.0.0.1:8080

📖 For detailed setup instructions, see the Step-by-Step Setup Guide

Features

• ASCII and UTF-16LE (wide) string extraction
• Opcode extraction from PE/ELF executables
• Encoding detection: Base64, hex-encoded, reversed strings
• Magic header and filesize conditions
• Super rule generation (overlapping string patterns across files)
• Customizable scoring rules (SQLite-backed, editable via Web UI)
• Efficient LLM integration for string selection (OpenAI, Anthropic, Gemini, Ollama)
  • Only submits prefiltered top candidates (no goodware strings, max 500 from automatic evaluation)
  • Requests numbered list instead of full strings to minimize token usage
  • Significantly reduces API costs compared to naive approaches
• Web UI for rule generation and scoring rules management

Installation (Alternative Methods)

Using Pre-built Binaries

Download pre-built binaries from the Releases page for your platform.

Using Go Install

go install github.com/Neo23x0/yarGen-Go/cmd/yargen@latest
go install github.com/Neo23x0/yarGen-Go/cmd/yargen-util@latest

Binaries will be installed to $GOPATH/bin or $HOME/go/bin (add to PATH if needed).

Usage

CLI Mode

# Basic usage
yargen -m ./malware-samples

# With options