YARA - отличный инструмент, который, скорее всего, большинство из вас уже знает и использует ежедневно. Если нет, поищите на isc.sans.edu, у нас есть много заметок о нём [1]. YARA очень мощный, потому что позволяет искать массивы байтов, представляющих исполняемый код. В этом случае вы предоставляете шестнадцатеричное представление машинного кода.