工具
YARA 文件模式匹配与分类工具
VirusTotal 推出的模式匹配工具，用规则识别和归类恶意软件样本等文件；每条规则由文本、十六进制和正则表达式字符串加一个布尔条件组成。可通过命令行、libyara C API 或 Python 扩展 yara-python 扫描单个文件、文件夹或运行中的进程。各模块向规则提供解析后的结构信息：pe 和 elf 模块提供 PE 与 ELF 头部的大部分字段，dotnet 模块提供 .NET 元数据，math 模块提供熵等计算，可选的 magic 和 cuckoo 模块则提供 libmagic 文件类型和 Cuckoo 沙箱行为报告数据。
- 目标
- 二进制
- 类别
- 原生分析工具
- 关联
- 基础工具
- 来源复核于
使用条件与局限
- 前提条件：支持 Windows、Linux 和 macOS；审阅时的版本为 v4.6.0，于 2026-10-27 发布。从源码构建需要 automake、libtool、make、gcc 和 pkg-config。依赖 OpenSSL 的功能只在系统已安装 OpenSSL 时启用；cuckoo（依赖 Jansson）和 magic（依赖 libmagic）模块须分别以 --enable-cuckoo 或 --enable-magic 编译才会包含。也可通过 vcpkg 安装 YARA。
- 局限：README 标明 YARA 已进入维护模式；YARA-X 的 README 称 YARA 仍会获得缺陷修复和小功能更新，但新模块和大型功能只会加入 YARA-X。命令行文档警告，来自不可信来源的已编译规则可能导致恶意代码被执行；自 YARA 3.9 起，加载已编译规则必须显式加上 -C 参数。
- 许可：依 COPYING 采用 BSD-3-Clause 许可。
关于此条目
说明已依据一手来源复核。
一手来源
- README.md GitHub · VirusTotal/yara · 修订 6d47342
- docs/gettingstarted.rst GitHub · VirusTotal/yara · 修订 6d47342
- docs/commandline.rst GitHub · VirusTotal/yara · 修订 6d47342
- docs/modules/pe.rst GitHub · VirusTotal/yara · 修订 6d47342
- docs/modules/elf.rst GitHub · VirusTotal/yara · 修订 6d47342
- docs/modules/math.rst GitHub · VirusTotal/yara · 修订 6d47342
- docs/modules/cuckoo.rst GitHub · VirusTotal/yara · 修订 6d47342
- COPYING GitHub · VirusTotal/yara · 修订 6d47342
- https://github.com/VirusTotal/yara/releases/tag/v4.6.0
- README.md GitHub · VirusTotal/yara-x · 修订 1bda5fc
- https://virustotal.github.io/yara-x/blog/yara-x-is-stable/