原文件有效数字签名不杀但行为报毒，修改MD5反被云引擎杀的奇怪样本，究竟是黑是白？

显示全部楼层 · 发表于 2011-10-11 23:30:21

本帖最后由 leisong 于 2011-10-11 23:37 编辑

这2天卡饭重复这个样本，如图，有有效数字签名

360 4个引擎全开联网扫描不杀，但修改MD5后反而被云引擎查杀，原样本运行时云主防行为报毒，究竟是黑是白，望分析。

今天这个样本有4个，分别是7# 8# 31# 32#, 云主防行为报毒见http://bbs.kafan.cn/forum.php?mo ... &fromuid=456832

修改MD5后反而报毒

1、为什么原文件不杀，反复修改MD5后被云引擎杀？这里难道不是杀MD5？

2、什么报毒机制反复修改MD5云引擎都会杀（没上传）？杀签名？那怎么原文件又不杀？

显示全部楼层 · 发表于 2011-10-11 23:37:41

本帖最后由李白vs苏轼于 2011-10-11 23:40 编辑

你不是说要睡觉了吗.

没修改md5前证书有效

所以没杀

改了后证书无效

所以查杀

显示全部楼层 · 发表于 2011-10-11 23:39:09

李白vs苏轼发表于 2011-10-11 23:37
你不是说要睡觉了吗.

突然发现这个奇怪的现象又不睡了，你能解释吗？
这和常理相反，360云查杀的常理是原文件报毒，修改MD5后不报（上传前）（不包括云QVM）

显示全部楼层 · 发表于 2011-10-11 23:40:26

leisong 发表于 2011-10-11 23:39
突然发现这个奇怪的现象又不睡了，你能解释吗？
这和常理相反，360云查杀的常理是原文件报毒，修改MD5后 ...

看2楼

显示全部楼层 · 发表于 2011-10-11 23:41:52

本帖最后由 leisong 于 2011-10-11 23:44 编辑

李白vs苏轼发表于 2011-10-11 23:40
看2楼

那就是杀无效证书，不是针对MD5查杀的，那究竟是不是毒？云主防对原文件报毒

显示全部楼层 · 发表于 2011-10-11 23:43:32

leisong 发表于 2011-10-11 23:41
那就是杀无效证书，不是针对MD5查杀的，云主防报毒同理？

也不是

可能本来那个文件会被查出恶意行为

然后呢,,因为是证书有效的

所以就没报把

哈哈纯个人猜测

显示全部楼层 · 发表于 2011-10-11 23:47:19

李白vs苏轼发表于 2011-10-11 23:43
也不是

可能本来那个文件会被查出恶意行为

我就是奇怪，如果是毒，那证书也太不可靠了；

如果不是毒，云主防却对原文件报毒，修改MD5后又报毒，那云引擎也不可能通杀失效签名吧，如果是过期签名也要杀吗？

显示全部楼层 · 发表于 2011-10-11 23:56:59

本帖最后由李白vs苏轼于 2011-10-12 00:01 编辑

leisong 发表于 2011-10-11 23:47
我就是奇怪，如果是毒，那证书也太不可靠了；

如果不是毒，云主防却对原文件报毒，修改MD5后又报毒，那 ...

主防在关键地方与证书无关吧,必须报这样才安全点把,,,还是个人猜测

过期的证书也是无效的啊

显示全部楼层 · 发表于 2011-10-12 00:02:12

更改后签名失效

显示全部楼层 · 发表于 2011-10-12 08:21:33

这几个文件 360杀毒默认设置监控报，扫描不报

[讨论] 原文件有效数字签名不杀但行为报毒，修改MD5反被云引擎杀的奇怪样本，究竟是黑是白？

本帖子中包含更多资源