Regra YARA
Formato de regra para identificar e classificar malware com base em padrões — strings de texto, sequências de bytes ou condições dentro de um arquivo. "Pattern matching para código malicioso"; as regras YARA são escritas por analistas para detectar uma família inteira de malware, não só uma amostra.
Mecanismo: uma regra YARA define strings (texto ou sequências hexadecimais de bytes) e uma condição lógica (por exemplo, "se 3 destas 5 strings estiverem presentes E o arquivo começar com MZ"). A ferramenta então varre arquivos, memória e processos e sinaliza as correspondências. A vantagem sobre um hash de arquivo (um IoC): o hash casa com UM único arquivo exato, enquanto uma regra YARA bem escrita pega variantes e famílias inteiras (que costumam compartilhar trechos de código e strings) — mais robusta a pequenas alterações. Usos: análise e classificação de malware, threat hunting (procurar uma família em toda a frota), resposta a incidentes e varredura de e-mails e arquivos. Criada pelo VirusTotal. Complemento: a Sigma faz o mesmo para logs e SIEM. Ferramenta indispensável no kit de um analista de malware. Relacionada à regra Sigma e ao indicador de comprometimento.