最近需要对分析的病毒提供一定的检测能力。看了一圈发现yara规则比较满足我的需求。 本文包括：yara规则的简单介绍yara规则的编写（字符串定义和条件定义）（基本就是官网翻译了）如何在python语言中使用yara（简单使用）一、简介&安装简介：vt开发的一个用于编写恶意软件识别和分类规则的工具。官方的github库地址：https://github.com/VirusTotal/yar
Yara是一个规则匹配的工具，由于其可以进行文本、二进制文件的匹配，被用在基于特征值的恶意代码检测中，其官方网站在这里。在国内还没见到有太多人使用，在这里先简单介绍一下相关的配置，并列出了其需要的相关工具。1. gccgcc has not been installed on CentOS, you should issue the command: $ sudo yum
原创
2014-01-03 02:10:58
1468阅读
最近小编在研究应急响应中用到的相关技术，应急响应中必然要和恶意程序、webshell打交道，下面小编来给同学们推荐一款开源的恶意程序检测工具，让我们来一起动手实践一下吧~Yara规则介绍Yara是一个基于规则的恶意样本分析工具，可以帮助安全研究人员和蓝队分析恶意软件，并且可以在应急取证过程中自定义检测规则来检测恶意软件，Yara支持有木马文件落盘和无木马文件落盘(内存马)的检测，由一组字符串和一个
原创
2021-12-30 14:29:05
471阅读
评估YARA规则对基于签名的恶意软件检测和分类的有效性摘要恶意软件经常使用混淆技术或稍作修改，以躲避反病毒软件和恶意软件分析工具的签名检测。传统上，为了确定一个文件是否是恶意的，并确定样本是什么类型的恶意软件，需要计算文件的加密哈希值。YARA是一个较新的、灵活的恶意软件检测解决方案，它可以根据文件的二进制模式创建规则来识别和分类恶意软件。在本文中，作者将批判性地评估YARA规则对基于签名的恶意软
## 使用Python调用YARA的流程
本文将详细介绍如何在CentOS系统中使用Python调用YARA进行文件扫描。以下是使用Python调用YARA的整个流程的步骤：
```mermaid
flowchart TD
A[安装YARA依赖] --> B[安装YARA]
B --> C[安装Python YARA库]
C --> D[创建YARA规则文件]
我的安装方法：1.1 从github下载源码https://github.com/VirusTotal/yara/releasestar -zxf yara-4.0.0.tar.gz
cd yara-4.0.01.2 安装依赖sudo apt-get install automake libtool make gcc pkg-config
sudo apt-get install flex bis
原创
2023-08-01 16:37:52
222阅读
IDA7.0安装keypatch和findcrypt-yara插件 https://www..com/zhaijiahui/p/7978897.html 谢天谢地终于装上了，赶紧把方法写一下。找了半天网上的安装方法又繁琐有坑人，偏偏这个插件利用keystone对版本要求很高。 K
转载
2018-04-25 23:16:00
389阅读
2评论
一、什么是sigmaSigma是一种通用的开放签名格式，允许您以一种直接的方式描述相关的日志事件。规则格式非常灵活，易于编写，适用于任何类型的日志文件。该项目的主要目的是提供一种结构化的形式，在这种结构中，研究人员或分析人员可以描述他们曾经开发的检测方法，并使其与他人共享。Sigma用于日志文件，就像Snort用于网络流量，YARA用于文件一样。这个库包含:（1）Wiki中的Sigma规则规范（2
转载
2023-08-02 20:55:03
89阅读
YARA规则是用于识别恶意软件、恶意文件或可疑活动的一种工具和规则集。YARA主要用于恶意软件分析领域，帮助研究人员根据模式匹配来识别类似的恶意软件样本。下面我们一步步介绍YARA规则的结构和使用：1. 规则的基本结构YARA规则由三部分组成：meta、strings 和 condition。rule ExampleRule
{
meta:
description = "T
YAYA（Yet Another Yara Alternative）规则是一种基于特定规则引擎的模式匹配语言，通常用于恶意软件分析和检测。它的设计灵感来自 YARA 规则，但提供了更高效的语法、性能和扩展性。YAYA 规则通常与其他入侵检测系统或恶意软件分析工具一起使用，帮助识别复杂的威胁。YAYA规则的主要特点：模式匹配：YAYA 规则使用特定的模式匹配语法，能够检测特定的字符串或字节序列，用于
看yara的使用https://go.chronicle.security/hubfs/YARA-L%20Overview%20White%20Paper.pdf支持自定义函数： profile susp_process_with_variation_of_svchost {
meta:
author = “Chronicle Security”
description = “Rule to
原创
2023-08-01 16:38:13
129阅读
yara安装与使用环境及安装工具使用yara规则编写strings部分转义大小写字符集表示匹配单个词组文本字符串condition部分infilesizeatentrypointint8/16/32、uint8/16/32of??？[X-Y]them/($*)@!for xxx of xxx ：(xxx)for xxx i in (xxx) ：(xxx)其他yara关键字globalprivat
转载
2023-09-21 15:50:41
218阅读
msf
msf ⽣成shellcode的yara 扫描 这⾥有msf 目前到6.0.12版本的生成shellcode 的yara 规则，但是存在部分误报，如果需要根据特征去匹配内存中。yara 需要进⼀步在研究 dnslog/httplog 等的反制
针对dnslog和httplog 的反制，获取的对方的payload 的url ，然后批量使用站长之家进⾏批量ping 或者使
原创
2023-09-18 09:03:05
159阅读
安全检查扫描工具：YARA可疑文件扫描工具进行扫描YARA可疑文件扫描工具 1、YARA工具是一款开源的用C/C++开发的跨平台的恶意软件识别工具。信息安全部对其进行二次开发，并维护其规则库，用于替代D盾和可疑文件扫描工具，解决原本的缺陷，提高病毒查杀效率，降低操作成本。支持windows和linux系统。已取代D盾和可疑文件扫描工具。2、本工具只用于扫描应用系统部署包目录和应用系统备份目录，对非
离线密码破解：离线不会触发密码锁定机制不会产生大量登录失败日志引起管理员注意HASH识别工具（识别哈希类型）：hash-identifierHashid yara规则匹配文件得到特定加密算法一、hash-identifierKali Linux提供工具hash-identifier来识别加密类型。运行该命令，然后输入哈希密文，就可以得到密文所使用的哈希算法类型。有了这个算法类型，再选择对应的工具或
有关机器学习Malware分类器的那些事bt0sea嘶吼专业版0x00前言从2015年开始,机器学习预测方法在很多行业都得到了应用,特别是2017年一年,信息安全领域特别是杀毒软件领域,已经出来完全取缔特征码的方式判断恶意软件,进入2018年,Top静态代码杀毒公司已经完全淘汰基于yara方法的多特征静态代码判断恶意软件的方式,完全使用机器学习分类器做为唯一判断依据。目前,比较成熟的商用静态恶意软
原创
2021-04-18 20:07:23
480阅读
