惡意代碼檢測工具 v3.4.0綠色版

經常我們做一些軟件的時候碰到惡意代碼，怎麼檢測出來呢？YARA就是這麼一款能夠幫助大家檢測出惡意代碼的工具，有了他能夠輕鬆的完成工作。

軟件簡介：

YARA是一款用於檢測、分析各種惡意代碼的軟件，它配備一個短小精悍的命令行搜索引擎，它由純C語言編寫，優化了執行的效率。規則語法的簡單明了和布爾邏輯使YARA成為一個完美的IOC。它已經集成到惡意軟件沙箱，蜜罐客戶端，取證工具以及網絡安全工具中。
檢測平台：
YARA支持多平台，可以運行在Windows、Linux、Mac

經常我們做一些軟件的時候碰到惡意代碼，怎麼檢測出來呢？YARA就是這麼一款能夠幫助大家檢測出惡意代碼的工具，有了他能夠輕鬆的完成工作。

軟件簡介：

YARA是一款用於檢測、分析各種惡意代碼的軟件，它配備一個短小精悍的命令行搜索引擎，它由純C語言編寫，優化了執行的效率。規則語法的簡單明了和布爾邏輯使YARA成為一個完美的IOC。它已經集成到惡意軟件沙箱，蜜罐客戶端，取證工具以及網絡安全工具中。
檢測平台：
YARA支持多平台，可以運行在Windows、Linux、Mac 成web瀏覽器，也會使用YARA來識別漏洞利用工具家族。在上述兩種場景中，事件響應團隊之間交換YARA規則可以大大增強垃圾郵件的分類和分析的能力。
取證分析
另一種值得一提的應用場景是取證。Volatility一款非常流行的內存取證工具，可以支持YARA掃描來查明可疑的對象，比如進程、文件、注冊表鍵值或互斥體(mutex)。相對於靜態文件的規則，因為它需要應對加殼器和加密器，分析內存對象的YARA規則通常可以獲得更廣的觀察範圍。在網絡取證領域，yaraPcap使用YARA掃描網絡數據包文件(PCAP)。類似於垃圾郵件分析的應用場景，使用YARA規則進行取證可以起到事半功倍的作用。
終端掃描
最終，還有值得留意的應用場景是端點掃描。不錯，在客戶端計算機上進行YARA掃描。由於YARA掃描引擎是跨平台的，我們完全可以在Windows係統上使用Linux係統上開發的特征規則。唯一需要解決的問題是如何分發掃描引擎，下發規則，以及將掃描結果發送到某個中心位置。Hipara，一款C語言開發的主機入侵防禦係統，可以實現基於YARA規則文件的實時掃描，並將報告結果發回到某個中心服務器。另一種解決方案是自己編寫python腳本來調用YARA模塊，同時使用REST庫實現推拉(pull/push)的操作。

使用方法：

惡意代碼檢測分析工具(YARA)
1、環境準備
在實戰之前，我們需要一個Linux係統環境和下列工具：
需要用到：pescanner.py
此外你需要一個段惡意代碼來分析，你可以從Malwr.com網站上獲取樣本：
警告：樣本是一個真實的惡意軟件，確保分析是在可控、隔離和安全環境中進行，比如臨時性的虛擬機。
2、場景模擬
在周三下午4點，你的郵箱接受到一份事件報告的通知郵件。它似乎是一個可疑的HTTP文件下載(文件哈希值為f38b0f94694ae861175436fcb3981061)命中了網絡IPS的特征庫。你迅速檢查IPS報警的詳情，查看它是否把樣本存入待深入分析的臨時倉庫中。你可以發現文件已被成功的保存下來，且文件類型是PE(可執行文件)，絕對值得一看。下載文件之後，你需要進行初始的靜態分析：利用Google和Virustotal查詢這個哈希值，分析PE文件頭來尋找惡意的企圖。
3、挑戰

創建匹配下述條件的YARA規則：

1.

經常我們做一些軟件的時候碰到惡意代碼，怎麼檢測出來呢？YARA就是這麼一款能夠幫助大家檢測出惡意代碼的工具，有了他能夠輕鬆的完成工作。

軟件簡介：

YARA是一款用於檢測、分析各種惡意代碼的軟件，它配備一個短小精悍的命令行搜索引擎，它由純C語言編寫，優化了執行的效率。規則語法的簡單明了和布爾邏輯使YARA成為一個完美的IOC。它已經集成到惡意軟件沙箱，蜜罐客戶端，取證工具以及網絡安全工具中。
檢測平台：
YARA支持多平台，可以運行在Windows、Linux、Mac
5. Rich簽名的XOR密鑰
6. 必須是Windows可執行文件