Glossaire YARA

Définitions courtes des termes utilisés dans les guides et les outils.

Alternative (hex): Une alternative dans une chaîne hexadécimale YARA, notée ( A | B ), accepte l’une de plusieurs séquences, de longueurs éventuellement différentes.
Atome (atom): Un atome est la courte séquence fixe que YARA extrait de chaque motif et recherche en premier ; sa qualité conditionne la vitesse.
Modificateur base64: Les modificateurs base64 et base64wide trouvent une chaîne YARA après encodage base64, quel que soit son alignement dans les données.
Condition: La condition est l’expression booléenne qui décide si une règle YARA correspond, en combinant motifs, propriétés du fichier et modules.
Detection Rule License (DRL): La Detection Rule License 1.1 permet d’utiliser et de partager des règles de détection en conservant auteur, lien et licence.
Faux positif: Un faux positif est une correspondance YARA sur un fichier que la règle ne vise pas, typiquement un logiciel légitime.
filesize: filesize est le mot-clé YARA qui donne la taille en octets des données scannées, utilisé comme garde-fou peu coûteux.
fullword: Le modificateur fullword impose qu’une chaîne YARA soit délimitée par des caractères non alphanumériques, pas au milieu d’un mot.
Règle global: Une règle YARA global agit comme un filtre : si elle est fausse pour un fichier, aucune autre règle du même espace de noms ne correspond.
Corpus de goodware: Un corpus de goodware est un ensemble de fichiers sains servant à tester les règles YARA contre les faux positifs avant déploiement.
Chaîne hexadécimale (hex string): Une chaîne hexadécimale YARA décrit des octets bruts entre accolades, avec jokers, quartets, sauts et alternatives.
IOC (indicateur de compromission): Un indicateur de compromission est un artefact observable d’une intrusion : hash, domaine, mutex ou motif de fichier.
Saut (jump): Un saut dans une chaîne hexadécimale YARA, noté [n-m], accepte entre n et m octets quelconques entre deux parties fixes.
Livehunt: Livehunt est la fonctionnalité de VirusTotal qui applique vos règles YARA aux nouveaux fichiers soumis et notifie les correspondances.
Section meta: La section meta d’une règle YARA documente la règle en paires clé/valeur : description, auteur, date, référence, hashes.
Module: Les modules YARA ajoutent aux conditions des formats de fichiers analysés et des fonctions : pe, elf, dotnet, math, hash…
Espace de noms (namespace): Un espace de noms regroupe des règles YARA compilées ensemble : les noms de règles n’ont à être uniques qu’à l’intérieur.
nocase: Le modificateur nocase rend une chaîne ou une regex YARA insensible à la casse, au prix de performances moindres sur les chaînes courtes.
Règle private: Une règle YARA private est évaluée et référençable par d’autres règles, mais n’est jamais rapportée seule comme correspondance.
Expression régulière (regex): Les regex YARA sont des motifs entre barres obliques, de syntaxe proche de Perl, pour ce que le texte ou l’hexadécimal ne peut exprimer.
Retrohunt: Retrohunt est la fonctionnalité de VirusTotal qui exécute des règles YARA sur les fichiers déjà soumis pour retrouver d’anciens échantillons.
Tag de règle: Les tags sont des étiquettes déclarées après le nom d’une règle YARA ; ils n’influencent pas la correspondance et servent à filtrer.
Règle (rule): Une règle YARA est un bloc nommé contenant métadonnées et motifs optionnels et une condition booléenne obligatoire.
Modificateur de chaîne: Les modificateurs ascii, wide, nocase, fullword, xor, base64 et private changent la recherche et l’affichage d’un motif YARA.
Section strings: La section strings déclare les motifs recherchés par une règle YARA : texte, hexadécimal et expressions régulières, avec modificateurs.
Chaîne de texte: Une chaîne de texte YARA est un littéral entre guillemets comparé octet par octet, avec échappements et modificateurs optionnels.
wide: Le modificateur wide recherche une chaîne YARA encodée en UTF-16LE, chaque caractère ASCII étant suivi d’un octet nul.
Joker (wildcard): Dans une chaîne hexadécimale YARA, ?? accepte n’importe quel octet et un ? seul un quartet, pour ignorer les octets qui varient.
Modificateur xor: Le modificateur xor fait aussi rechercher une chaîne YARA XORée avec chaque clé d’un octet, éventuellement limitée à une plage.
YARA Forge: YARA Forge collecte, teste et note les règles YARA publiques et les publie chaque semaine en paquets core, extended et full.
YARA-X: YARA-X est la réécriture en Rust de YARA par VirusTotal : même langage, analyse plus stricte, erreurs plus claires, meilleures performances.
YARA: YARA est un moteur open source de correspondance de motifs et un langage de règles pour identifier et classer des malwares.