yara

[!IMPORTANT] Ce projet est en mode maintenance. Plus d'infos : https://virustotal.github.io/yara-x/blog/yara-x-is-stable/

YARA en bref

YARA est un outil destiné (mais pas seulement) à aider les chercheurs en logiciels malveillants à identifier et classer des échantillons de malwares. Avec YARA, vous pouvez créer des descriptions de familles de malwares (ou tout ce que vous souhaitez décrire) basées sur des motifs textuels ou binaires. Chaque description, c'est-à-dire une règle, se compose d'un ensemble de chaînes de caractères et d'une expression booléenne qui détermine sa logique. Voyons un exemple :

rule silent_banker : banker
{
    meta:
        description = "This is just an example"
        threat_level = 3
        in_the_wild = true

    strings:
        $a = {6A 40 68 00 30 00 00 6A 14 8D 91}
        $b = {8D 4D B0 2B C1 83 C0 27 99 6A 4E 59 F7 F9}
        $c = "UVODFRYSIHLNWPEJXQZAKCBGMT"

    condition:
        $a or $b or $c
}

La règle ci-dessus indique à YARA que tout fichier contenant l'une des trois chaînes doit être signalé comme silent_banker. Ce n'est qu'un exemple simple, des règles plus complexes et plus puissantes peuvent être créées en utilisant des jokers, des chaînes insensibles à la casse, des expressions régulières, des opérateurs spéciaux et de nombreuses autres fonctionnalités que vous trouverez expliquées dans la .