Glossaire
Modificateur xor
Le modificateur xor fait aussi rechercher une chaîne YARA XORée avec chaque clé d’un octet, éventuellement limitée à une plage.
$a = "http://" xor trouve la chaîne XORée avec chaque clé d’un octet de 1 à 255 (plus la chaîne en clair) ; xor(0x01-0x1F) limite la plage de clés. Il cible l’obfuscation XOR simple, fréquente dans les configurations de malwares.
Chaque clé est une variante distincte : n’utilisez xor que sur des chaînes assez longues pour être distinctives, et pas avec nocase ou base64.