Apprendre YARA

Des guides pratiques et testés — chaque exemple de règle complète compile avec YARA-X.

1. 01Qu’est-ce que YARA ? Règles de détection de malwaresYARA expliqué : comment une règle YARA reconnaît des octets dans un fichier ou en mémoire, à quoi elle sert en détection et en réponse à incident, et YARA-X.
2. 02Syntaxe YARA : anatomie d’une règleStructure d’une règle YARA : identifiant, tags, sections meta, strings et condition, imports, commentaires, règles private et global, erreurs de syntaxe courantes.
3. 03Chaînes YARA : texte, hexadécimal et regexÉcrire les chaînes d’une règle YARA : texte et échappements, modificateurs nocase, wide, xor et base64, chaînes hexadécimales avec jokers et sauts, regex.
4. 04Conditions YARA : comptages, positions, bouclesÉcrire des conditions YARA : logique booléenne, comptage et position des chaînes, filesize et magic bytes, ensembles any/all/N of, boucles for, with et références.
5. 05Modules YARA : pe, elf, dotnet, math, hash…Utiliser les modules YARA pour interroger des formats analysés : imports et sections pe, elf, macho, dotnet, lnk, entropie math, hash, console, avec notes YARA-X.
6. 06Performance YARA : atomes, chaînes et conditionsPourquoi certaines règles YARA sont lentes et comment les corriger : atomes et préfiltre, bonnes et mauvaises chaînes, hex à octets fixes, regex ancrées, garde-fous.
7. 07Tester des règles YARA : échantillons, goodware, CITester une règle YARA avant de la déployer : échantillons positifs, corpus de goodware contre les faux positifs, yr check, tests unitaires et pipeline CI GitHub Actions.
8. 08YARA-X vs YARA : différences et migrationYARA-X, la réécriture en Rust de YARA par VirusTotal : compatibilité, analyse plus stricte, nouveautés, différences de ligne de commande, migration et usage navigateur.
9. 09Règles YARA pour la réponse à incidentYARA en réponse à incident : périmètre, écrire une règle à partir d’un échantillon, choisir des chaînes uniques, score de confiance, chasse sur le parc et en mémoire.
10. 10Conventions de nommage et de style YARALes conventions des jeux de règles YARA publics : préfixes de noms (MAL_, HKTL_…), champs meta, nommage des chaînes ($x, $s, $fp), formatage yr fmt et versionnage.
11. 11Règles YARA publiques, YARA Forge et licencesL’écosystème des règles YARA publiques : paquets YARA Forge, grands dépôts comme Signature Base et Malpedia, outils, licences rencontrées et ce qu’elles permettent.
12. 12YARA sur VirusTotal : Livehunt et RetrohuntYARA sur VirusTotal : règles crowdsourcées, Livehunt sur les nouvelles soumissions, Retrohunt sur l’historique, module vt, et tester ses règles en local d’abord.
13. 13Aide-mémoire YARA : syntaxe, modificateursUne référence YARA et YARA-X sur une page : squelette de règle, types de chaînes et modificateurs, syntaxe hex, opérateurs, quantificateurs, boucles, magic bytes et CLI.