Yara modifier : XOR strings 정리

xor modifier는 single byte XOR이 적용된 문자열을 검색하는 데 사용할 수 있다.

아래 룰은 문자열 "suspect"에 적용된 모든 single byte XOR을 검색한다. 쉽게 말해서 0x00~0xff까지 돌린다는 것이다. xor 후 wide와 ascii를 사용하고 싶으면 xor wide ascii 순서로 아래와 같이 입력하면 된다.
rule xor1
{
strings:
   $xor_string = "suspect" xor wide ascii
condition:
   $xor_string
}

위와 같은 경우에는 xor을 0x00~0xff까지 255번 모두 수행한다. YARA 3.11 업데이트에서는 xor(minimum-maximum) 형태로 최소, 최대의 수를 직접 지정하여 세밀하게 컨트롤 할 수 있게 되었다.

rule xor2
{
strings:
   $xor_string = "suspect" xor(0x2-0xc8)
condition:
   $xor_string
}

yara.readthedocs.io/en/latest/writingrules.html