Awesome YARA

精选的 Yara 规则、工具和相关资源的清单。本清单受到 awesome-python 与 awesome-php 的启发创建。

YARA 是 YARA: Another Recursive Ancronym 或者 Yet Another Ridiculous Acronym 的首字母缩写，怎么解释都可以。

-- Victor M. Alvarez (@plusvic)

YARA 是为恶意软件研究人员/所有人准备的模式匹配瑞士军刀，由 @plusvic 与 @VirusTotal 开发，可在 GitHub 的仓库 中查看。

目录

• 100 Days of YARA (#100DaysofYARA)
• 指南
• 规则
• 工具
• 服务
• 语法高亮
• 人员
• 视频与演讲
• 相关列表
• 贡献

图例

• 👀 - 维护积极，值得一看
• 💎 - 创新且富有教育意义
• ✨ - 过去半年新兴的好东西
• 🏆 - 绝对不能错过

100 Days of YARA (#100DaysofYARA)

受到 #100DaysOfCode 活动的启发，Greg Lesnewich 在 2022 年发起了名为 #100DaysofYARA 的季度 Yara 挑战活动。活动旨在推动社区进行规则创建、源码贡献或者相关知识的教学。重要贡献者包括 Wesley Shields、Steve Miller。所有参与者可以参见 Twitter List。该活动所有相关的规则，全都整理在 100 Days of YARA。

指南

• Yara 性能指南
• YARA 风格指南

规则

• AlienVault Labs Rules
  • AlienVault Labs 提供的工具、签名和规则的仓库。可通过 .yar 和 .yara 扩展名找到 Yara 规则，包括 APT 检测到通用的沙盒/虚拟机检测。最后更新时间为 2016 年 1 月。
• Apple OSX
  • 近 40 个检测 macOS 上恶意软件的签名。XProtect.yara 文件位于 /System/Library/CoreServices/XProtect.bundle/Contents/Resources/。
• bartblaze YARA rules 👀
  • 个人 Yara 签名库。
• BinaryAlert YARA Rules
  • 为配合 BinaryAlert 工具，AirBnB 提供了数十条规则，在 Linux、Windows 与 OS X 平台上检测恶意软件。
• Burp YARA Rules
  • 通过 Yara-Scanner 扩展与 Burp Proxy 一起使用的 Yara 规则集合。主要针对通过 HTTP 传输的非 EXE 恶意软件，包含 HTML、Java、Flash、Office、PDF 文件等。最新更新于 2016 年 6 月。
• BinSequencer
  • 在一组样本文件中找到通用的字节模式，据此生成 Yara 签名。
• CAPE Rules 👀
  • 与 Cuckoo 沙盒的 Config And Payload Extraction（CAPE）扩展绑定的规则集。
• CDI Rules
  • CyberDefenses 提供的 Yara 签名库。
• Citizen Lab Malware Signatures
  • Citizen Lab 提供的 Yara 签名库。包含许多恶意软件家族的数十个签名，最后更新时间为 2016 年 11 月。
• ConventionEngine Rules ✨
  • 检测看起来很独特、异常或明显带有恶意关键字的 PDB 路径的 Yara 规则。
• Deadbits Rules 👀
  • Splunk 的首席威胁情报分析师 Adam Swanda 提供的 Yara 规则库，对外披露对恶意软件的研究进展。
• Delivr.to Detections
  • 由 delivr.to 团队的检测规则库。
• Didier Stevens Rules 💎
  • Didier Stevens 提供的规则集合，用于检查 OLE/RTF/PDF 的工具，这些规则通常是为威胁狩猎而写的，新的规则会在 NVISO 的博客中发布。
• Elastic Security YARA Rules
  • Elastic 在 Elastic 的终端产品中提供基于签名的 Yara 规则，这些规则用于检测 Linux、Windows 和 macOS 系统中出现的威胁。存储库中已经包含 1000 多个 Yara 规则，覆盖木马、勒索软件、挖矿木马、攻击渗透框架等。
• ESET IOCs 👀
  • ESET 提供的 Yara 签名和 Snort 签名库。可以通过文件扩展名搜索 Yara 规则，仓库每月更新。在 ESET WeLiveSecurity Blog 上也经常披露 IOC 指标。
• Fidelis Rules
  • Fidelis Cyber 的仓库中有 6 个 Yara 规则，大约每个季度更新一次。
• FireEye
  • FireEye 红队工具检测签名库。
• Florian Roth Rules 👀 💎
  • Florian Roth 不断更新 IOC 与 Yara 规则集合。有数十条积极维护的规则，涵盖了多种威胁类型。
• Florian Roth's IDDQD Rule
  • 展示检测红队和威胁工具的 POC 规则。
• f0wl yara_rules
  • https://dissectingmalwa.re/ 博客提供的 Yara 签名库。
• Franke Boldewin Rules
  • @r3c0nst 提供的 Yara 规则集。
• FSF Rules
  • 用于 EmersonElectricCo FSF 的文件类型检测规则。
• GoDaddy ProcFilter Rules
  • 由 GoDaddy 发布的数十条可与 ProcFilter 一起使用的规则，包括检测壳、mimikatz 和特定的恶意软件。
• Google Cloud Threat Intelligence(GCTI) Rules
  • 检测 CobaltStrike 与 Sliver 的Yara 规则。
• h3x2b Rules 💎
  • 由 h3x2b 提供的规则集，可用于辅助逆向工程。例如标识加密代码、高熵值代码（证书发现）、注入\Hook 代码等。
• HydraDragonAntivirus 🏆
  • 世界上最大的开源 YARA 规则集，没有重复规则、没有无效规则。其中还包含 ClamAV + YARA-X 或 YARA + 机器学习 + IDS 签名以及 SUBLIME + CAPA + SIGMA 签名。此外，该规则集还拥有许多恶意软件样本。
• Icewater Rules
  • Icewater.io 提供的自动生成的 Yara 规则集合。
• imp0rtp3's Rules
  • 包含基于浏览器的 Yara 规则库。
• Intezer Rules ✨
  • Intezer 提供的 Yara 规则。
• InQuest Rules 👀
  • InQuest 研究员发布的、针对 VirusTotal 的威胁狩猎规则。规则会不断更新，在 InQuest 的博客上也会讨论新的发现。
• jeFF0Falltrades Rules ✨
  • 各类恶意软件家族的 Yara 规则集。
• kevthehermit Rules
  • Kevin Breen 个人的数十条规则，自 2016 年 2 月再未更新。
• Loginsoft Rules
  • 针对 Microsoft Office 格式文件进行检测的 Yara 规则。
• lw-yara
  • 用于扫描 Linux 服务器中的垃圾邮件、钓鱼网站和其他 Web 恶意程序的规则集。
• ndaal_YARA_passwords_default
  • 包含 1043 个组织默认凭据的 Yara 规则，其中也包含这些凭据的 base64、MD5、SHA512 等编码/哈希。
• ndaal_YARA_passwords_weak
  • 包含最常见的弱口令的 Yara 规则，其中也包含这些口令的 base64、MD5、SHA512 等编码/哈希。
• NCC Group Rules 👀
  • 由 NCC 的网络安全防御团队提供的 Yara 规则集。
• MalGamy's YARA_Rules
  • 包含一些对信息窃密程序的检测 Yara 规则集。
• Malice.IO YARA Plugin Rules 👀
  • 多来源、有关 Malice.IO 框架的 Yara 规则集。
• Malpedia Auto Generated Rules ✨
  • 包含由 Malpedia 的 YARA-Signator 自动创建的规则。
• Malpedia Auto Generated Rules Repo ✨
  • 请求访问更加容易的、Malpedia 自动生成的、基于代码的 YARA 规则规则库。
• McAfee Advanced Threat Research IOCs
  • 与 McAfee ATR 的博客和其他公开文章一起发布的 Yara 规则等。
• McAfee Advanced Threat Research Yara-Rules
  • McAfee ATR Teams 提供的 Yara 规则集。
• mikesxrs YARA Rules Collection 👀
  • 各种来源的开源 Yara 规则集合，包含超过 100 个类别、1500 个文件、4000 条规则，如果只能下载一个进行分析，那一定是这个。