YARA Documentation

The pattern matching swiss knife for malware researchers (and everyone else).

Release 3.8.1

Victor M. Alvarez

Dec 19, 2018

---

Документация к YARA (перевод на русский)

Дроботун Евгений (drobotun@xakep.ru)

---

• 1. Начало работы
  • 1.1. Компиляция и установка YARA
    • 1.1.1. Установка в Windows
    • 1.1.2. Установка в Mac OS X с Homebrew
    • 1.1.3. Установка yara-python
  • 1.2. Запуск YARA первый раз
• 2. Написание правил YARA
  • 2.1. Комментарии
  • 2.2. Строки
    • 2.2.1. Шестнадцатеричные строки
    • 2.2.2. Текстовые строки
    • 2.2.3. Регулярные выражения
  • 2.3. Условия
    • 2.3.1. Подсчет строк
    • 2.3.2. Смещение строк или виртуальный адрес
    • 2.3.3. Длина совпадений
    • 2.3.4. Размер файла
    • 2.3.5. Точка входа исполняемого файла
    • 2.3.6. Доступ к данным на заданной позиции
    • 2.3.7. Наборы строк
    • 2.3.8. Применение одного и того же условия к нескольким строкам
    • 2.3.9. Использование анонимных строк с of и for…of
    • 2.3.10. Перебор строковых вхождений
    • 2.3.11. Ссылки на другие правила
  • 2.4. Еще о правилах
    • 2.4.1. Глобальные правила
    • 2.4.2. Приватные правила
    • 2.4.3. Тэги правил
    • 2.4.4. Метаданные
  • 2.5. Использование модулей
  • 2.6. Неопределенные значения
  • 2.7. Внешние переменные
  • 2.8. Включаемые файлы
• 3. Модули
  • 3.1. Модуль PE
    • 3.1.1. Описание
  • 3.2. Модуль ELF
    • 3.2.1. Описание
  • 3.3. Модуль Cuckoo
    • 3.3.1. Описание
  • 3.4. Модуль Magic
  • 3.5. Модуль Hash
  • 3.6. Модуль Math
  • 3.7. Модуль dotnet
    • 3.7.1. Описание
  • 3.8. Модуль Time
• 4. Написание собственных модулей
  • 4.1. Модуль “Hello World!”
    • 4.1.1. Сборка нашего “Hello World!”
  • 4.2. Раздел объявлений
    • 4.2.1. Основные типы
    • 4.2.2. Структуры
    • 4.2.3. Массивы
    • 4.2.4. Словари
    • 4.2.5. Функции
  • 4.3. Инициализация и завершение
  • 4.4. Реализации логики работы модуля
    • 4.4.1. Доступ к сканируемым данным
    • 4.4.2. Присваивание значений переменным
    • 4.4.3. Сохранение данных для дальнейшего использования
  • 4.5. Подробнее о функциях
    • 4.5.1. Аргументы функций
    • 4.5.2. Возвращаемые значения
    • 4.5.3. Доступ к объектам
    • 4.5.4. Контекст сканирования
• 5. Запуск YARA из командной строки
• 6. Использование YARA из Python
  • 6.1. Описание
• 7. YARA API для C
  • 7.1. Инициализация и завершение libyara
  • 7.2. Компиляция правил
  • 7.3. Определение внешних переменных
  • 7.4. Сохранение и извлечение скомпилированных правил
  • 7.5. Сканирование данных
    • 7.5.1. Использование сканера
  • 7.6. Описание API
    • 7.6.1. Структуры данных
    • 7.6.2. Функции
    • 7.6.3. Коды ошибок