La decodifica XOR è una semplice trasformazione dei dati basata sull'operazione XOR bit a bit. In pratica, la stessa operazione usata per nascondere i dati può anche rivelarli di nuovo quando viene applicata la chiave corretta o il corretto modello di byte. Non si tratta di una crittografia forte, ma viene comunemente usata per offuscare leggermente stringhe, blob di configurazione, URL o comandi incorporati.
Nella sicurezza informatica, la decodifica XOR è importante perché gli aggressori spesso la usano per tenere le impostazioni del malware fuori dalla vista e rendere più difficile l'analisi statica. Un campione può memorizzare un indirizzo C2, il nome di un mutex o il percorso di un payload in forma codificata con XOR, quindi decodificarlo solo quando il programma viene eseguito. Gli analisti ribaltano questo passaggio durante l'analisi del malware per recuperare la configurazione nascosta, comprendere il comportamento e creare rilevamenti. Gli strumenti di sicurezza possono anche segnalare pattern XOR ripetuti come indizio di packing o di semplice offuscamento, soprattutto nei loader e negli script.