Glossar
xor-Modifikator
Der xor-Modifikator lässt YARA einen String zusätzlich mit jedem 1-Byte-XOR-Schlüssel suchen, optional auf einen Bereich begrenzt.
$a = "http://" xor findet den String XOR-verknüpft mit jedem 1-Byte-Schlüssel von 1 bis 255 (und im Klartext); xor(0x01-0x1F) begrenzt den Bereich. Ziel ist die einfache XOR-Verschleierung, wie sie in Malware-Konfigurationen häufig vorkommt.
Jeder Schlüssel ist eine eigene Variante: xor nur für ausreichend lange Strings nutzen und nicht mit nocase oder base64.