YARA 是一个出色的工具，你们大多数人可能已经知道并每天都在使用它。 如果你没有，请在 isc.sans.edu 上搜索，我们有很多关于它的日记[1]。 YARA 非常强大，因为你可以搜索代表可执行代码的字节数组。 在这种情况下，你提供二进制机器代码的十六进制表示形式。