应急响应-Yara规则木马检测

Yara规则介绍

Yara是一个基于规则的恶意样本分析工具，可以帮助安全研究人员和蓝队分析恶意软件，并且可以在应急取证过程中自定义检测规则来检测恶意软件，Yara支持有木马文件落盘和无木马文件落盘(内存马)的检测，由一组字符串和一个确定的布尔表达式组成。

下载安装

1. Windows环境下可直接下载编译好的exe程序进行检测分析，当前使用的版本为4.1.3。

程序运行截图

2.Yara检测程序运行中使用的参数。

运行参数

下载地址：https://github.com/VirusTotal/yara

需要更多学习资料与工具可以私信回复“资料”【点击查看】

Yara规则语法

1.Yara规则内容支持字符串、正则表达式、十六进制进行匹配。