yara

YARA — это инструмент сопоставления с образцом, разработанный VirusTotal, в первую очередь предназначенный для помощи исследователям вредоносного ПО в идентификации и классификации образцов. Он позволяет пользователям создавать описания семейств вредоносных программ (или любых других целей) на основе текстовых или бинарных паттернов. Каждое описание, называемое правилом, состоит из набора строк и булева выражения, определяющего логику сопоставления. Правила могут включать шестнадцатеричные строки, текстовые строки и регулярные выражения, с поддержкой подстановочных знаков, сопоставления без учета регистра и специальных операторов. YARA является кроссплатформенным, работает на Windows, Linux и Mac OS X, и может использоваться через интерфейс командной строки или интегрироваться в скрипты Python через расширение yara-python. Проект в настоящее время находится в режиме сопровождения, и команда направляет пользователей к YARA-X как к стабильному преемнику. Дополнительные ресурсы включают YARA-CI для непрерывного тестирования правил на GitHub, yextend для сканирования сжатых файлов и курируемый список инструментов, связанных с YARA. YARA широко применяется в индустрии безопасности, его пользователи включают крупных поставщиков решений в области безопасности, таких как Avast, ESET, Kaspersky, Trend Micro, McAfee и Cisco Talos, а также проекты с открытым исходным кодом, такие как Cuckoo Sandbox, osquery и Radare2.