YARA
Regelsprache, um Schadcode anhand von Mustern in Dateien zu erkennen. Von Victor Alvarez bei VirusTotal entwickelt und 2013 veröffentlicht. Oft „grep für Malware" genannt.
Eine Regel besteht aus Strings — Text, Hex-Sequenzen oder regulären Ausdrücken — und einer Bedingung, die festlegt, welche Kombination als Treffer zählt, oft ergänzt um Dateigröße oder PE-Header-Daten. Der Vorteil gegenüber Hash-Vergleichen liegt in der Verallgemeinerung: Ein Hash passt auf genau eine Datei, eine gut geschriebene Regel erfasst dagegen eine ganze Familie samt künftiger Varianten, weil Angreifer vieles, aber selten alles ändern. Eingesetzt in Incident Response, Speicheranalyse und Threat Hunting; Regelsätze werden offen zwischen Sicherheitsteams geteilt. Kehrseite: Falsch-Positive — eine zu allgemeine Regel schlägt bei legitimer Software an. YARA-X ist die Neuimplementierung in Rust.