Yara安装及python运用

 

Yara

YARA是一款旨在帮助恶意软件研究人员识别和分类恶意软件样本的开源工具，使用YARA可以基于文本或二进制模式创建恶意软件家族描述与匹配信息。现在已经被多家公司所运用于自身的产品。

 

YARA-规则

YARA规则的字符串有三种类型：文本字符串、十六进制字符串、正则表达式。文本字符串用来定义文件或进程内存中可读型内容，十六进制字符串用来定义字节内容，正则表达式可用在文本字符串和十六进制字符串中。

rule HexExample  /* 规则名称 */
{
 
    strings: /* 字符串，可使用文本字符串、十六进制字符串、正则表达式 */
        $hex_string = {6A 40 68 00 30 00 00 6A 14 8D 91}
        $char_string = "UVODFRYSIHLNWPEJXQZAKCBGMT"
    condition: /* 条件区域 */
        $hex_string or $char_string
}

 

安装yara

1. 下载解压yara

sudo tar -zxvf yara-3.6.3.tar.gz

2. 安装支持包automake

apt-get install automake -y

3. 安装支持包libtool

apt-get install libtool -y

4. 安装支持包make

apt-get install