Règle YARA
Un format de règle pour identifier et classer les logiciels malveillants d'après des motifs — chaînes de texte, séquences d'octets ou conditions dans un fichier. Du « pattern matching pour code malveillant » : les règles YARA sont écrites par des analystes pour détecter toute une famille de malwares, pas un seul échantillon.
Mécanique : une règle YARA définit des chaînes (texte ou séquences d'octets en hexadécimal) et une condition logique (par exemple « si 3 de ces 5 chaînes sont présentes ET que le fichier commence par MZ »). L'outil analyse ensuite fichiers, mémoire et processus, et signale les correspondances. Sa force face à un simple hachage de fichier (un IoC) : un hachage ne correspond qu'à UN fichier exact, alors qu'une règle YARA bien écrite attrape variantes et familles entières (qui partagent souvent des fragments de code ou des chaînes) — bien plus robuste aux petites modifications. Cas d'usage : analyse et classification de malwares, threat hunting (chercher une famille dans tout le parc), réponse à incident, analyse des e-mails et des fichiers. Créé par VirusTotal. Complément : Sigma fait la même chose, mais pour les journaux et le SIEM. Un outil indispensable dans la trousse d'un analyste de malwares.