Glosario
Modificador xor
El modificador xor hace que YARA busque también la cadena con XOR de cada clave de un byte, opcionalmente en un rango.
$a = "http://" xor encuentra la cadena con XOR de cada clave de un byte de 1 a 255 (y la cadena en claro); xor(0x01-0x1F) limita el rango. Apunta a la ofuscación XOR simple, frecuente en configuraciones de malware.
Cada clave es una variante distinta: usa xor solo con cadenas lo bastante largas y nunca con nocase o base64.