原文件有效数字签名不杀但行为报毒，修改MD5反被云引擎杀的奇怪样本，究竟是黑是白？

显示全部楼层 · 发表于 2011-10-12 09:56:23

原来的MD5和签名匹配，不报
修改后不匹配，报
但是运行又报行为，个人估计是有恶意行为的灰色软件，个人估计而已

显示全部楼层 · 发表于 2011-10-12 09:58:59

leisong 发表于 2011-10-11 23:39
突然发现这个奇怪的现象又不睡了，你能解释吗？
这和常理相反，360云查杀的常理是原文件报毒，修改MD5后 ...

数字签名失效
显示是无效数字签名
外加可疑行为云自然杀掉他

显示全部楼层 · 发表于 2011-10-12 10:09:40

莫非是行为报的？

显示全部楼层 · 发表于 2011-10-12 11:50:24

广告软件，黑的。

显示全部楼层 · 发表于 2011-10-12 18:43:11

您好，请您加我的QQ760114686我帮您查看下。

显示全部楼层 · 发表于 2011-10-12 18:48:41

fujun_926 发表于 2011-10-12 18:43
您好，请您加我的QQ760114686我帮您查看下。

这需要查看？你电脑上原文件能扫出来？

显示全部楼层 · 发表于 2011-10-12 18:53:16

QVM本身就报，但是客户端逻辑估计有BUG

显示全部楼层 · 发表于 2011-10-12 19:33:18

本帖最后由 leisong 于 2011-10-12 19:33 编辑

zdolo 发表于 2011-10-12 18:53
QVM本身就报，但是客户端逻辑估计有BUG

很奇怪，今天的那个签名是37 38 39 三个，不修改MD5，一个报云特征，2个报云安全，全杀了。再扫昨天的毒包，结果和昨天一样不修改MD5还是不报。

而杀毒对这7个带签名的全报行为和木马相似，应该就是云QVM，为什么杀毒不和卫士报统一的云特征引擎呢？

显示全部楼层 · 发表于 2011-10-12 19:53:38

leisong 发表于 2011-10-12 19:33
很奇怪，今天的那个签名是37 38 39 三个，不修改MD5，一个报云特征，2个报云安全，全杀了。再扫昨天的毒 ...

不知道为啥SD叫 “木马相似”，好像这个有时候还不一定是QVM,我也搞不明白

显示全部楼层 · 发表于 2011-10-13 07:29:22

AD软件。whois了是法国的。。多国镜像站点。。。很强大的网络推广。。。

[讨论] 原文件有效数字签名不杀但行为报毒，修改MD5反被云引擎杀的奇怪样本，究竟是黑是白？