Glossar
base64-Modifikator
Die Modifikatoren base64 und base64wide finden einen YARA-String nach Base64-Kodierung, unabhängig von der Ausrichtung.
$a = "powershell -nop" base64 findet den String in Base64-kodierten Daten, egal an welcher Position im Block (YARA erzeugt die drei möglichen Ausrichtungen). base64wide sucht die kodierte Form in UTF-16LE. Ein eigenes 64-Zeichen-Alphabet kann übergeben werden.
Nicht mit nocase, xor oder fullword kombinierbar; in YARA-X muss der String mindestens drei Bytes lang sein.