YaraVM

Yara 是一种用于文件模式匹配的工具，常用于恶意软件分析。Yara 规则可以编译成二进制格式，随后可被加载和执行。本仓库包含适用于 IDA Pro 的处理器模块和加载器，使您能够加载和分析已编译的 Yara 规则。

安装

要将 YaraVM 安装到 IDA 中，请按以下步骤操作：

1. 将 yara_loader.py 文件复制到 IDA 的 loaders 文件夹。
2. 将 yara_proc.py 文件复制到 IDA 的 proc 文件夹。
3. 将 libyara.til 文件复制到 IDA 的 til 文件夹。
4. 现在您可以在 IDA 中打开编译后的 Yara 规则。

为了方便，您可以使用以下命令创建必要的符号链接：

mkdir -p ~/.idapro/loaders
mkdir -p ~/.idapro/procs
mkdir -p ~/.idapro/til

ln -s $PWD/src/yara_loader.py ~/.idapro/loaders/yara_loader.py
ln -s $PWD/src/yara_proc.py ~/.idapro/procs/yara_proc.py
ln -s $PWD/src/libyara.til ~/.idapro/til/libyara.til

演示

您可以将文件 test.yar.bin 加载到 IDA Pro 中，查看 Yara 字节码和正则表达式字节码。