YARA
Linguagem de regras para reconhecer código malicioso por padrões em arquivos. Criada por Victor Alvarez na VirusTotal e lançada em 2013. Chamada com frequência de "grep para malware".
Uma regra é composta por strings — texto, sequências hexadecimais ou expressões regulares — e uma condição que define qual combinação conta como correspondência, muitas vezes junto com o tamanho do arquivo ou dados do cabeçalho PE. A vantagem sobre a comparação por hash é a generalização: um hash bate com exatamente um arquivo, enquanto uma regra bem escrita pega uma família inteira, incluindo variantes futuras, já que os atacantes trocam muita coisa, mas raramente trocam tudo. É usada em resposta a incidentes, análise de memória e threat hunting, e conjuntos de regras circulam abertamente entre times de segurança. O problema são os falsos positivos — uma regra genérica demais dispara em cima de software legítimo. O YARA-X é a reescrita em Rust.