惡意代碼分析_01_YARA規則_CLAMAV病毒庫

寫在前面的話：

上一篇文章裏，咱們已經初步瞭解了Malware的一些知識，而且利用Clamscan建立了本身的md5類型的病毒庫，

那在這篇文章中，我將帶領你們一塊兒，來進一步瞭解病毒庫的相關知識，以及如何創建本身的規則，匹配病毒；

零、YARA規則的編寫：

yara也是在ClamAV這個開源軟件裏的，這裏，先演示一下簡單的使用：

rule vir1 { strings: $my_text_string = "kerne132.dll" // kerne132.dll not kernel32.dll
    condition: $my_text_string }

 

由於Lab01-01.exe裏有kerne132.dll這個字符串出現，因此，規則就會匹配成功；

出現這個非正常字符串，咱們就認爲這個文件是惡意的，因此，會出現提示信息；

1、YARA規則解說(摘自15PB薛老師，部分)

2、Clamav病毒庫類型