Joker (wildcard)

Dans une chaîne hexadécimale, ?? accepte n’importe quel octet et ? remplace une moitié d’octet : 4? couvre 40 à 4F, ?A couvre 0A, 1A … FA. Les jokers servent surtout pour les adresses et valeurs immédiates du code, qui changent d’une compilation à l’autre.

Trop de jokers privent YARA d’un bon atome : gardez une suite d’octets fixes dans chaque motif.