Viết YARA rule đầu tiên để săn mã độc

YARA mô tả họ mã độc bằng tập chuỗi và điều kiện. Ví dụ đơn giản phát hiện tệp kiểm thử EICAR:

rule EICAR_Test_File {
  meta:
    description = "Phát hiện tệp kiểm thử EICAR"
  strings:
    $s = "EICAR-STANDARD-ANTIVIRUS-TEST-FILE"
  condition:
    $s and filesize < 128
}

• Chọn chuỗi hiếm, gắn liền với logic mã độc thay vì chuỗi thư viện phổ biến.
• Kết hợp điều kiện cấu trúc (header PE, kích thước) để giảm dương tính giả.
• Kiểm thử rule trên tập tệp sạch lớn trước khi triển khai.