| 用途 | 样本归类与横向扫描 |
|---|---|
| 组成 | meta / strings / condition 三段 |
基础规则
基础规则
rule family_marker {
meta: author = "ir-team"
strings: $a = "UniqueC2Tag" ascii
condition: $a
}规则命中是强线索，仍要人工核对命中文件上下文。
YARA 规则匹配思路
YARA 用字符串与字节特征标识样本族：写规则时优先选样本中稳定、罕见的特征，避免常见库字符串。
易错点
- 过于泛化的字符串会大面积误报，先在小样本集验证
- 加壳样本要配合内存特征或多条件规则
数据来源与参考
- YARA 官方文档