Atom

Ein Atom ist die kurze feste Byte-Folge, die YARA aus jedem Muster extrahiert und zuerst sucht; seine Qualität bestimmt das Tempo.

Vor dem Scan wählt YARA für jedes Muster eine feste Teilfolge von bis zu vier Bytes: das Atom. Alle Atome werden gleichzeitig mit einem Aho-Corasick-Automaten gesucht; das vollständige Muster wird nur dort geprüft, wo sein Atom vorkommt. Seltene Atome bedeuten wenige Prüfungen, häufige wie 00 00 oder ein Drei-Buchstaben-String lösen überall Prüfungen aus.