YARA lernen

Praxisnahe, getestete Leitfäden — jedes vollständige Regelbeispiel kompiliert mit YARA-X.

1. 01Was ist YARA? Regeln zur Malware-ErkennungYARA erklärt: wie eine YARA-Regel Bytes in Dateien und Speicher erkennt, wofür sie in Detektion und Incident Response genutzt wird und welche Rolle YARA-X spielt.
2. 02YARA-Syntax: Aufbau einer RegelAufbau einer YARA-Regel: Bezeichner, Tags, die Abschnitte meta, strings und condition, Imports, Kommentare, private und globale Regeln und typische Syntaxfehler.
3. 03YARA-Strings: Text, Hex und reguläre AusdrückeYARA-Strings schreiben: Text und Escapes, Modifikatoren wie nocase, wide, xor und base64, Hex-Strings mit Wildcards und Sprüngen sowie reguläre Ausdrücke.
4. 04YARA-Bedingungen: Anzahl, Offsets, SchleifenYARA-Bedingungen schreiben: boolesche Logik, Anzahl und Offsets von Treffern, filesize und Magic Bytes, Mengen mit any/all/N of, for-Schleifen, with und Regelverweise.
5. 05YARA-Module: pe, elf, dotnet, math, hash und mehrYARA-Module nutzen: pe-Imports und Sektionen, elf, macho, dotnet, lnk, Entropie mit math, hash und console — mit Hinweisen zu YARA-X und der Browser-Version.
6. 06YARA-Performance: Atome, Strings und BedingungenWarum manche YARA-Regeln langsam sind und wie man sie beschleunigt: Atome und Vorfilter, gute und schlechte Strings, Hex mit festen Bytes, verankerte Regex, günstige Prüfungen.
7. 07YARA-Regeln testen: Proben, Goodware und CIYARA-Regeln vor dem Einsatz testen: positive Proben, ein Goodware-Korpus gegen False Positives, yr check, Unit-Tests und eine CI-Pipeline mit GitHub Actions.
8. 08YARA-X vs. YARA: Unterschiede und MigrationYARA-X, die Rust-Neuimplementierung von YARA durch VirusTotal: Kompatibilität, strengeres Parsing, neue Syntax, CLI-Unterschiede, Migrations-Checkliste und Browser-Einsatz.
9. 09YARA-Regeln für die Incident ResponseYARA in der Incident Response: Scope, eine Regel aus einer Probe schreiben, eindeutige Strings wählen, Konfidenz-Score, Hunting im gesamten Netz und im Speicher.
10. 10YARA-Namens- und StilkonventionenKonventionen öffentlicher YARA-Regelsammlungen: Namenspräfixe (MAL_, HKTL_…), Meta-Felder, String-Benennung ($x, $s, $fp), Formatierung mit yr fmt und Versionierung.
11. 11Öffentliche YARA-Regeln, YARA Forge und LizenzenDas Ökosystem öffentlicher YARA-Regeln: YARA-Forge-Pakete, große Repositories wie Signature Base und Malpedia, Werkzeuge, Lizenzen und was sie erlauben.
12. 12YARA auf VirusTotal: Livehunt und RetrohuntYARA auf VirusTotal: Crowdsourced-Regeln, Livehunt für neue Einreichungen, Retrohunt über frühere Dateien, das vt-Modul und warum man zuerst lokal testen sollte.
13. 13YARA-Spickzettel: Syntax, Modifikatoren, BedingungenYARA und YARA-X auf einer Seite: Regelgerüst, String-Typen und Modifikatoren, Hex-Syntax, Operatoren, Quantoren, Schleifen, Magic Bytes und Kommandozeile.