YARA è un motore di ricerca di pattern che consente di descrivere una famiglia di malware sotto forma di regole e di individuare in automatico i file che vi corrispondono. Lo pubblica VirusTotal con licenza BSD a tre clausole, e Victor M. Alvarez, tra i suoi autori storici, firma ancora le versioni più recenti. La nota di copyright del repository fa risalire il progetto al 2007.
Nel 2025 la sua posizione è cambiata. Il 4 giugno di quell’anno VirusTotal ha annunciato YARA-X 1.0, una riscrittura completa in Rust, e ha messo il YARA originale in modalità manutenzione: riceve solo correzioni di bug critici e patch di sicurezza, senza nuove funzioni, perché tutto lo sviluppo futuro avviene in YARA-X. L’editore assicura che YARA resterà disponibile e mantenuto ancora a lungo, per consentire una migrazione graduale.
A cosa serve YARA
Una regola YARA unisce due elementi: un elenco di stringhe da cercare, che possono essere testo, sequenze di byte in esadecimale o espressioni regolari, e una condizione logica che stabilisce quando la regola scatta. Si può per esempio richiedere la presenza di tre stringhe caratteristiche su cinque, fissare una dimensione massima del file o verificare che una stringa compaia in una posizione precisa. Lo strumento a riga di comando yara applica le regole a file, cartelle intere o alla memoria di un processo, mentre yarac le compila in anticipo per velocizzare le scansioni ripetute.
I moduli arricchiscono le condizioni esponendo la struttura interna dei file. Quello dedicato al formato PE dà accesso a import, sezioni e firma di un eseguibile Windows, mentre altri trattano i formati ELF e .NET, i collegamenti LNK, gli hash crittografici o l’entropia, che spesso rivela un contenuto cifrato o compresso. Una libreria C e l’estensione yara-python permettono di integrare il motore in altri programmi.
È questo a spiegare la sua diffusione in tanti strumenti. Volatility, presente nella nostra raccolta di software, lo usa per esplorare le immagini di memoria, e Autopsy offre un modulo che applica regole YARA ai file di un caso. Il README del progetto elenca circa novanta organizzazioni che lo utilizzano, tra cui ESET, Kaspersky, Trend Micro, Cisco Talos ed Elastic Security.
Con l’arrivo di YARA-X, chi avvia un nuovo progetto deve scegliere. Secondo la sua documentazione, YARA-X gestisce molto più rapidamente le espressioni regolari e i pattern esadecimali complessi e fornisce messaggi di errore più chiari, ma non è un sostituto immediato e non è ancora in grado di analizzare la memoria dei processi.
Per chi è?
YARA è pensato per analisti di malware, team di threat intelligence, centri operativi di sicurezza e addetti alla risposta agli incidenti, che si scambiano regole per condividere le proprie scoperte. Anche i produttori di software di sicurezza lo integrano nei loro prodotti.
Non è un antivirus: non offre protezione in tempo reale e vale quanto le regole che riceve, da scrivere in proprio o da reperire presso fonti affidabili. Non dispone di interfaccia grafica. Le installazioni esistenti e le regole già scritte continuano a funzionare, ma un team che parte oggi farebbe bene a valutare YARA-X, dato che le novità arriveranno solo lì.
Scaricare YARA in sicurezza
Il codice sorgente e le versioni pubblicate sono su GitHub, nel repository VirusTotal/yara. L’ultima versione, la 4.5.8 del 28 luglio 2026, corregge una serie di difetti di sicurezza della memoria nell’analisi dei formati PE, .NET, ELF, Mach-O e DEX. È distribuita solo come codice sorgente: gli ultimi eseguibili pronti per Windows, a 32 e 64 bit, accompagnano la versione 4.5.5 dell’ottobre 2025. Per Linux e macOS la documentazione spiega come compilare con i consueti strumenti GNU e come installare tramite Homebrew o vcpkg.
YARA è completamente gratuito e non esiste un’edizione a pagamento. La documentazione avverte che i pacchetti Scoop e Chocolatey per Windows non sono curati dagli autori del progetto. Trattandosi di uno strumento che esamina file potenzialmente pericolosi, è prudente prendere i binari dalla pagina delle release di GitHub o compilarli da sé, invece di fidarsi di un eseguibile trovato altrove.
Domande frequenti
YARA è stato abbandonato?
No, ma dal giugno 2025 è in modalità manutenzione. VirusTotal continua a rilasciare correzioni, come dimostra la versione 4.5.8 del luglio 2026, ma non sono previste nuove funzioni. Le evoluzioni sono riservate a YARA-X.
Le mie regole YARA funzionano con YARA-X?
In buona parte, perché YARA-X adotta lo stesso linguaggio, ma l’editore avverte che non si tratta di un sostituto immediato. La documentazione di YARA-X dedica una pagina alle differenze di comportamento, da leggere prima di portare un insieme di regole in produzione.
Si può usare YARA da Python?
Sì, con l’estensione yara-python, distribuita a parte in un proprio repository GitHub. Consente a uno script di compilare regole e applicarle a file o a dati in memoria.
