Glossar
Wildcard (Hex)
In einem YARA-Hex-String steht ?? für ein beliebiges Byte und ein einzelnes ? für ein Halbbyte, um wechselnde Bytes zu ignorieren.
In einem Hex-String steht ?? für ein beliebiges Byte und ? für ein Halbbyte: 4? deckt 40 bis 4F ab, ?A deckt 0A, 1A … FA ab. Wildcards dienen vor allem für Adressen und Immediate-Werte im Code, die sich zwischen Builds ändern.
Zu viele Wildcards lassen YARA kein gutes Atom finden: in jedem Muster eine Folge fester Bytes behalten.