Anatomie d’une règle

Chaque règle commence par rule Nom [: tags] { ... }.

Sections

• meta — documentation (description, author, reference) ; non utilisable dans la condition.
• strings — motifs texte, hex ou regex ($a, $x1, …).
• condition — logique booléenne obligatoire.

Exemple minimal

rule Example {
    strings:
        $a = "marker"
    condition:
        $a
}

Imports

import "pe"

Règles global et private

• global rule — partagée entre fichiers compilés ensemble.
• private rule — brique interne, non rapportée seule.

Variables externes

Déclarées à la compilation (yara -d var=value) pour paramétrer les conditions sans modifier le fichier.

Référence : Anatomy of a rule (YARA-X) · Writing YARA rules (readthedocs).