用途：编写、审查、优化 YARA-X 检测规则，将 IOC 或威胁情报转化为可维护签名，调试误报，迁移旧版 YARA 规则，并为 Chrome 扩展（crx）或 Android DEX（dex）编写模块规则。目标运行时为 YARA-X，安装命令：brew install yara-x 或 cargo install yara-x；常用 CLI：yr check、yr scan、yr fmt、yr dump。
主要能力：以原子（4 字节子序列）质量为核心选择字符串；按家族而非泛类别编写规则；先用 filesize、magic bytes 等廉价检查短路；支持 PE、脚本、npm、Office、crx、dex 等平台模块；提供命名规范 {CATEGORY}{PLATFORM}{FAMILY}{VARIANT}{DATE} 与元数据要求。
使用方式：收集 3 个以上样本并判断是否加壳；用 yarGen 或 FLOSS 提取字符串并过滤；按 filesize → magic bytes → 字符串 → 模块调用顺序编写条件；用 yr check 与 yr fmt 校验，用 yr scan -s 验证恶意样本全部命中、yr scan -c 验证正常软件语料零命中；误报时定位命中字符串并收紧或改用结构特征；最后经同行评审并纳入 Git 版本管理。
适用场景：恶意软件、黑客工具、webshell、供应链工件检测；生产规则集、YARA-CI 或 VirusTotal retrohunt 准备。
限制：不适用于完整逆向工程、网络入侵检测、内存取证、纯哈希黑名单、企业安全治理或 CI/CD 主任务；若样本无独特特征，YARA 可能不是合适控制手段。旧规则迁移需处理正则转义、base64 长度、@a[-1] 写法等差异。具体参考文件内容暂未提供。