YARA-Glossar

Kurze Definitionen der Begriffe aus Leitfäden und Tools.

Alternative (Hex): Eine Alternative in einem YARA-Hex-String, geschrieben ( A | B ), trifft eine von mehreren Folgen, auch unterschiedlicher Länge.
Atom: Ein Atom ist die kurze feste Byte-Folge, die YARA aus jedem Muster extrahiert und zuerst sucht; seine Qualität bestimmt das Tempo.
base64-Modifikator: Die Modifikatoren base64 und base64wide finden einen YARA-String nach Base64-Kodierung, unabhängig von der Ausrichtung.
Bedingung (condition): Die Bedingung ist der boolesche Ausdruck, der entscheidet, ob eine YARA-Regel trifft — aus Mustern, Dateieigenschaften und Modulen.
Detection Rule License (DRL): Die Detection Rule License 1.1 erlaubt Nutzung und Weitergabe von Detektionsregeln, wenn Autor, Link und Lizenz erhalten bleiben.
False Positive: Ein False Positive ist ein YARA-Treffer auf einer Datei, die die Regel nicht erkennen soll — meist legitime Software.
filesize: filesize ist das YARA-Schlüsselwort für die Größe der gescannten Daten in Bytes, eine günstige Schutzbedingung.
fullword: Der Modifikator fullword verlangt, dass ein YARA-String durch nicht-alphanumerische Zeichen begrenzt ist, nicht Teil eines Wortes.
Globale Regel: Eine globale YARA-Regel wirkt als Filter: Ist sie für eine Datei falsch, kann keine andere Regel im selben Namespace treffen.
Goodware-Korpus: Ein Goodware-Korpus ist eine Sammlung sauberer Dateien, um YARA-Regeln vor dem Einsatz auf False Positives zu prüfen.
Hex-String: Ein YARA-Hex-String beschreibt rohe Bytes in geschweiften Klammern, mit Wildcards, Halbbytes, Sprüngen und Alternativen.
IOC (Indicator of Compromise): Ein Indicator of Compromise ist ein beobachtbares Artefakt eines Angriffs, etwa ein Hash, eine Domain, ein Mutex oder ein Dateimuster.
Sprung (jump): Ein Sprung in einem YARA-Hex-String, geschrieben [n-m], erlaubt n bis m beliebige Bytes zwischen zwei festen Teilen.
Livehunt: Livehunt ist die VirusTotal-Funktion, die Ihre YARA-Regeln auf neu eingereichte Dateien anwendet und Treffer meldet.
Abschnitt meta: Der meta-Abschnitt dokumentiert eine YARA-Regel mit Schlüssel/Wert-Paaren: Beschreibung, Autor, Datum, Referenz, Hashes.
Modul: YARA-Module ergänzen Bedingungen um geparste Dateiformate und Funktionen, etwa pe, elf, dotnet, math und hash.
Namespace: Ein Namespace gruppiert gemeinsam kompilierte YARA-Regeln; Regelnamen müssen nur innerhalb des Namespace eindeutig sein.
nocase: Der Modifikator nocase macht einen YARA-String oder eine Regex unabhängig von Groß-/Kleinschreibung — auf Kosten der Leistung.
Private Regel: Eine private YARA-Regel wird ausgewertet und kann referenziert werden, wird aber nie allein als Treffer gemeldet.
Regulärer Ausdruck (Regex): YARA-Regex sind Muster zwischen Schrägstrichen mit Perl-ähnlicher Syntax, für das, was Text oder Hex nicht ausdrücken können.
Retrohunt: Retrohunt ist die VirusTotal-Funktion, die YARA-Regeln über früher eingereichte Dateien laufen lässt, um ältere Proben zu finden.
Regel-Tag: Tags werden nach dem Namen einer YARA-Regel deklariert; sie beeinflussen den Treffer nicht und dienen zum Filtern und Gruppieren.
Regel (rule): Eine YARA-Regel ist ein benannter Block mit optionalen Metadaten und Mustern sowie einer verpflichtenden booleschen Bedingung.
String-Modifikator: Die Modifikatoren ascii, wide, nocase, fullword, xor, base64 und private ändern, wie ein YARA-Muster gesucht und ausgegeben wird.
Abschnitt strings: Der strings-Abschnitt deklariert die Muster einer YARA-Regel: Text, Hex und reguläre Ausdrücke, mit Modifikatoren.
Text-String: Ein YARA-Text-String ist ein Literal in Anführungszeichen, das Byte für Byte verglichen wird, mit Escapes und Modifikatoren.
wide: Der Modifikator wide sucht einen YARA-String in UTF-16LE, bei dem jedem ASCII-Zeichen ein Null-Byte folgt.
Wildcard (Hex): In einem YARA-Hex-String steht ?? für ein beliebiges Byte und ein einzelnes ? für ein Halbbyte, um wechselnde Bytes zu ignorieren.
xor-Modifikator: Der xor-Modifikator lässt YARA einen String zusätzlich mit jedem 1-Byte-XOR-Schlüssel suchen, optional auf einen Bereich begrenzt.
YARA Forge: YARA Forge sammelt, testet und bewertet öffentliche YARA-Regeln und veröffentlicht sie wöchentlich als Pakete core, extended und full.
YARA-X: YARA-X ist die Rust-Neuimplementierung von YARA durch VirusTotal: gleiche Sprache, strengeres Parsing, klarere Fehler, mehr Leistung.
YARA: YARA ist eine Open-Source-Engine zur Mustererkennung und eine Regelsprache, um Malware zu identifizieren und zu klassifizieren.