真误报？假病毒？误报不怕

显示全部楼层 · 发表于 2012-9-20 16:40:39

本帖最后由 mengld 于 2012-9-20 19:20 编辑

红伞的高启发的确能带来很好的检测率，但是误报有点惨不忍睹啊。。。。各种报
导致很多人直接关闭文件防御了事。。。。

于是病毒光明正大的长驱直入了，

于是，中毒了。。。

于是，开始怪杀软了。。。

于是。。。。

有什么办法来知道是误报呢还是病毒？

看名字可不行哦

以http://bbs.kafan.cn/thread-1362466-1-1.html贴中的样本为例

解压后红伞报毒，是不是误报呢？我也不知道（我是小白我怕谁），但是我可以点击详细信息看看

咦，检测下面那个似乎是链接诶，要不点点试试看？（看病毒名貌似是木马，不管他）

看到了吧，检测的俩威胁都有历史了，误报的几率会不会小点呢？（这么长时间总有人上报吧）

点击第一个 see here，一切尽收眼底，红伞可给出了明晰的描述哦

下面是多引擎法，这么多引擎，肿么看呢？其实可以选择一些知名厂商的结果，比如卡巴，BD，铁壳等等，一些广谱特征码收集比较好的（小a，mse）也可以作参考哦。至于想clamav这些，我是选择性忽视的，你呢？

多引擎在线扫描
http://r.virscan.org/ba9eb8e4244e8c22b7e019c1d672d874

可以看到BD，卡巴，铁壳，小a，mse都报毒了。这样是不是可以确定这个东东真不是向他图标那样，其实是个坏蛋呢？

或者用毛豆的在线行为分析

结果http://camas.comodo.com/cgi-bin/ ... c4469b2d14f35bd74d7

好难啊，看不懂肿么办？

看到这个吗？

结果好明显的，要是e文不好的可以翻译哈
Verdict
Auto Analysis Verdict
Suspicious+
Description
Suspicious Actions Detected
Creates and executes scripts
Creates autorun records
Disables control panel
Disables registry tools
Disables task manager

有木有中文的？有啦
火眼https://fireeye.ijinshan.com/

火眼报告地址
http://fireeye.ijinshan.com/anal ... 988&type=1#full

还想结束杀软进程，，，，生怕人家不知道你是病毒吗？

草草的写了这么多，其实不止是判断红伞是否为误报，判断是否为危险程序也差不多啦。

ps机油，教程写完了

显示全部楼层 · 发表于 2012-9-20 16:57:16

版主技术贴？支持一下

显示全部楼层 · 发表于 2012-9-20 18:23:42

好，慢慢看

显示全部楼层 · 发表于 2012-9-20 18:48:39

学习了、、、

显示全部楼层 · 发表于 2012-9-20 18:58:21

啥是『秒杀.exe』，这种东西基本都是......毒呗！

显示全部楼层 · 发表于 2012-9-20 19:02:32

本帖最后由 mengld 于 2012-9-20 19:04 编辑

oox2x1x3xoo 发表于 2012-9-20 18:58
啥是『秒杀.exe』，这种东西基本都是......毒呗！

样本改了名字～～～我也可以改成360update.exe
再说只是拿这个样本举例，现实中木马不会写我是木马.exe

显示全部楼层 · 发表于 2012-9-20 19:17:52

本帖最后由 saga3721 于 2012-9-20 19:19 编辑

红伞报CFI.GEN一般都是很厉害的欲致人死的病毒——当然误报不在之列
判断误报最好是上报，红伞有时不买账，那再给其他厂商报以确认是误报

显示全部楼层 · 发表于 2012-9-20 21:07:45

支持技术贴

显示全部楼层 · 发表于 2012-9-21 18:55:46

酱紫啊~ 发表于 2012-9-20 21:07
支持技术贴

～～～～木有人看

显示全部楼层 · 发表于 2012-9-21 18:57:35

mengld 发表于 2012-9-21 18:55
～～～～木有人看

技术帖竟然没人看。。。

[讨论] 真误报？假病毒？误报不怕

本帖子中包含更多资源

评分