Glosario
Comodín (wildcard)
En una cadena hexadecimal YARA, ?? acepta cualquier byte y un ? solo medio byte, para ignorar los bytes que cambian.
Dentro de una cadena hexadecimal, ?? acepta cualquier byte y ? sustituye medio byte: 4? cubre de 40 a 4F, ?A cubre 0A, 1A … FA. Se usan sobre todo para direcciones y valores inmediatos del código, que cambian entre compilaciones.
Demasiados comodines dejan a YARA sin un buen átomo: conserva una secuencia de bytes fijos en cada patrón.