YARA est un moteur de recherche de motifs qui permet de décrire une famille de logiciels malveillants sous forme de règles, puis de repérer automatiquement les fichiers qui y correspondent. Il est publié par VirusTotal sous licence BSD à trois clauses, et Victor M. Alvarez, l’un de ses auteurs historiques, signe encore les versions récentes. La mention de copyright du dépôt fait remonter le projet à 2007.
Sa situation a changé en 2025. Le 4 juin de cette année-là, VirusTotal a annoncé la version 1.0 de YARA-X, une réécriture complète en Rust, et placé le YARA d’origine en mode maintenance : il ne reçoit plus que des corrections de bugs critiques et des correctifs de sécurité, sans nouvelle fonction, tout le développement futur se faisant dans YARA-X. L’éditeur précise que YARA reste disponible et maintenu pour une durée indéterminée afin de laisser le temps de migrer.
À quoi sert YARA
Une règle YARA réunit deux éléments : une liste de chaînes à rechercher, qui peuvent être du texte, des suites d’octets en hexadécimal ou des expressions régulières, et une condition logique qui dit quand la règle se déclenche. On peut ainsi exiger la présence de trois chaînes caractéristiques sur cinq, imposer une taille de fichier maximale ou vérifier qu’une chaîne apparaît à un emplacement précis. L’outil en ligne de commande yara applique ces règles à des fichiers, à des dossiers entiers ou à la mémoire d’un processus, tandis que yarac les compile à l’avance pour accélérer les analyses répétées.
Des modules enrichissent les conditions en exposant la structure interne des fichiers. Celui consacré au format PE donne accès aux imports, aux sections ou à la signature d’un exécutable Windows, et d’autres traitent les formats ELF et .NET, les raccourcis LNK, les empreintes cryptographiques ou l’entropie, qui trahit souvent un contenu chiffré ou compressé. Une bibliothèque C et l’extension yara-python permettent d’intégrer le moteur dans d’autres programmes.
C’est ce qui explique sa présence dans tant d’outils. Volatility, présent dans notre logithèque, s’en sert pour fouiller une image mémoire, et Autopsy propose un module qui applique des règles YARA aux fichiers d’un dossier d’enquête. Le fichier README du projet cite environ quatre-vingt-dix organisations utilisatrices, parmi lesquelles ESET, Kaspersky, Trend Micro, Cisco Talos et Elastic Security.
Face à YARA-X, la question du choix se pose désormais pour tout nouveau projet. Selon sa documentation, YARA-X traite bien plus vite les expressions régulières et les motifs hexadécimaux complexes et fournit des messages d’erreur plus explicites, mais il ne constitue pas un remplacement transparent et ne sait pas encore analyser la mémoire des processus.
Pour qui ?
YARA s’adresse aux analystes de logiciels malveillants, aux équipes de veille sur les menaces, aux centres opérationnels de sécurité et aux intervenants en réponse à incident, qui échangent des règles pour partager leurs découvertes. Les éditeurs d’outils de sécurité l’intègrent aussi dans leurs propres produits.
Ce n’est pas un antivirus : il ne protège rien en temps réel et ne vaut que par la qualité des règles qu’on lui fournit, qu’il faut savoir écrire ou trouver auprès de sources fiables. Il ne propose pas d’interface graphique. Les installations existantes et les règles déjà écrites continuent de fonctionner, mais une équipe qui démarre aujourd’hui a intérêt à évaluer YARA-X, puisque les nouveautés n’arriveront plus que de ce côté.
Télécharger YARA sans risque
Le code source et les versions publiées se trouvent sur GitHub, dans le dépôt VirusTotal/yara. La dernière version, la 4.5.8 du 28 juillet 2026, corrige une série de défauts de sécurité mémoire dans l’analyse des formats PE, .NET, ELF, Mach-O et DEX. Elle n’est fournie que sous forme de code source : les derniers exécutables prêts à l’emploi pour Windows, en 32 et 64 bits, accompagnent la version 4.5.5 d’octobre 2025. Sous Linux et macOS, la documentation explique la compilation avec les outils GNU habituels, et l’installation via Homebrew ou vcpkg.
YARA est entièrement gratuit, sans édition payante. La documentation signale que les paquets Scoop et Chocolatey pour Windows ne sont pas maintenus par les auteurs du projet. Pour un outil chargé d’examiner des fichiers potentiellement dangereux, mieux vaut récupérer les binaires sur la page des versions de GitHub ou compiler soi-même, plutôt que de faire confiance à un exécutable repris ailleurs.
Questions fréquentes
YARA est-il abandonné ?
Non, mais il est en mode maintenance depuis juin 2025. VirusTotal continue de publier des correctifs, comme le montre la version 4.5.8 de juillet 2026, mais aucune nouvelle fonction n’est prévue. Les évolutions sont réservées à YARA-X.
Mes règles YARA fonctionnent-elles avec YARA-X ?
En grande partie, puisque YARA-X reprend le même langage, mais l’éditeur prévient qu’il ne s’agit pas d’un remplacement transparent. La documentation de YARA-X consacre une page aux différences de comportement, à consulter avant de basculer un ensemble de règles en production.
Peut-on utiliser YARA depuis Python ?
Oui, grâce à l’extension yara-python, distribuée à part dans son propre dépôt GitHub. Elle permet de compiler des règles et de les appliquer à des fichiers ou à des données en mémoire depuis un script.
