Cadenas y condiciones

Una cadena de texto puede llevar modificadores que cambian lo que se busca. nocase ignora mayúsculas y minúsculas. wide busca el texto con un byte nulo entre cada carácter, que es como lo guardan muchos formatos de Windows; no es UTF-16 completo, solo esa intercalación. ascii pide la forma normal y solo hace falta escribirlo junto a wide. fullword exige que el texto esté rodeado de caracteres que no sean letras ni números. xor busca el texto tras aplicarle una operación byte a byte.

Hay combinaciones que el formato no admite: nocase no puede ir con xor, ni con base64.

Abre /lote/regla-celosia.yar y /lote/salida-del-corpus.txt. La primera regla pide dos de las tres cadenas $a*, que no esté $x1 y que el archivo pese menos de 2 MB. Una expresión como 2 of ($a*) cuenta cuántas cadenas de ese conjunto aparecen: dos o más la cumplen. not $x1 excluye a quien la lleve. La salida del lote dice el tamaño en KB y las cadenas presentes de cada archivo.

Aplica la condición completa a los ocho archivos y cuenta los que coinciden.

Una condición tiene varias partes y cada una puede ser la que excluye a un archivo. Saber cuál lo excluyó importa: si un archivo cumple todas las cadenas y lo detiene solo el tamaño, la regla no está fallando, está haciendo lo que se escribió. Pero también es un aviso: una variante más grande de la misma familia pasaría de largo.

La segunda regla del archivo, CCU_Celosia_Corta, se conforma con $c1, el texto de dos caracteres «ok». Un texto así aparece por casualidad en muchísimos archivos que no tienen nada que ver con la familia. Cuantos menos bytes tiene una cadena, más coincidencias accidentales.

Cuenta en la salida del lote cuántos archivos marcaría esa regla.

Los cinco archivos que marcaría CCU_Celosia_Corta incluyen casos que ninguna cadena de la familia respalda. El equipo quiere conservar la idea de vigilar la familia sin llenar la bandeja de coincidencias que nadie puede explicar.