Was ist YARA? Regeln zur Malware-Erkennung

YARA ist eine Open-Source-Engine zur Mustererkennung für die Malware-Analyse. Sie beschreiben, wie eine Familie von Dateien aussieht — einige Strings, ein paar Byte-Folgen, eine Header-Prüfung — und YARA sagt Ihnen, welche Dateien, Speicherabbilder oder Datenströme passen. Victor Alvarez hat YARA bei VirusTotal entwickelt; die Regelsprache ist heute der Standard, um Detektionslogik für Dateien zu teilen.

Dieser Leitfaden erklärt, wie eine Regel funktioniert, wo YARA eingesetzt wird und wie sich YARA-X einordnet — die Engine hinter den Tools dieser Website.

Wie eine YARA-Regel trifft

Eine Regel besteht im Kern aus Mustern (strings, auch wenn es Bytes sind) und einer Bedingung. YARA sucht zuerst alle Muster in den Daten und wertet dann die Bedingung aus, die Treffer mit Dateieigenschaften wie Größe oder Bytes an einem Offset kombinieren kann.

rule SUSP_Example_Download_Cradle
{
    meta:
        description = "PowerShell-Download-Befehl in einer Windows-Programmdatei"
        author = "yararules.org"
        date = "2026-09-29"
    strings:
        $ps = "powershell" ascii wide nocase
        $dl = "DownloadString(" ascii wide
    condition:
        uint16(0) == 0x5A4D and filesize < 5MB and $ps and $dl
}

Von unten gelesen: Die Datei muss mit dem MZ-Header einer Windows-Programmdatei beginnen, kleiner als 5 MB sein und beide Strings enthalten. Der meta-Abschnitt dokumentiert die Regel und beeinflusst den Treffer nie. Details im Leitfaden zur Syntax.

YARA führt nichts aus und entpackt nichts, sondern betrachtet Bytes, wie sie sind: schnell, vorhersehbar und sicher bei feindseligen Dateien — aber eine gepackte oder verschlüsselte Probe zeigt nur die Bytes ihres Packers.

Wofür YARA genutzt wird

• Malware-Klassifizierung: Proben nach Familie kennzeichnen („Emotet“, „Cobalt-Strike-Beacon“).
• Threat Hunting: Freigaben, Endpunkte oder Backups nach einem Tool aus einem anderen Vorfall durchsuchen.
• Triage in der Incident Response: Disk-Images, Triage-Sammlungen oder Speicherabbilder scannen (siehe Regeln für Incident Response).
• Speicheranalyse: Viele Implantate existieren nur entschlüsselt im Speicher.
• Inhaltsprüfung: Mail-Gateways, Web-Proxys und Upload-Pipelines markieren Dokumente und Archive.
• Threat-Intelligence-Plattformen wie VirusTotal führen Regeln laufend aus (siehe YARA auf VirusTotal).

YARA im Vergleich

Die drei ergänzen sich im SOC.

YARA und YARA-X

YARA 4.x (C) wird weiter gepflegt. YARA-X ist der Nachfolger, in Rust neu geschrieben und bei VirusTotal produktiv im Einsatz. Die Sprache bleibt gleich, die meisten Regeln kompilieren unverändert; YARA-X ist aber strenger bei mehrdeutigen Konstrukten und meldet Fehler mit Zeile und Spalte.

Alle Tools dieser Website führen YARA-X als WebAssembly in Ihrem Browser aus. Beim Online-Scanner und im Regeleditor werden Dateien lokal gelesen und nie hochgeladen.

Grenzen

• False Positives: Kurze oder generische Strings treffen legitime Software; testen Sie gegen ein Goodware-Korpus.
• Packer und Verschleierung verbergen Strings; dann zielt man auf Loader, Entschlüsselungsroutine oder den Speicher.
• Performance: Muster ohne gutes Atom verlangsamen jeden Scan (siehe Performance und Linter).
• Pflege: Vollständige Metadaten (Autor, Datum, Referenz) helfen dem nächsten Analysten.

Nächste Schritte

1. Aufbau einer Regel: YARA-Syntax.
2. Den richtigen Mustertyp wählen: Strings.
3. Echte Beispiele in der Regelbibliothek — jede Regel mit Autor und Lizenz.
4. Die erste Regel im Online-Editor schreiben und gegen eine Datei testen, ohne etwas hochzuladen.