有关轻云杀毒的若干分析

大金鱼先生

这两天貌似轻云很火啊，又是QHC高启发、又是啥啥一鸣惊人。近日闲得无聊，略作一二分析，切勿口水，高手莫笑
我是用这个版本的
http://bbs.kafan.cn/thread-1395022-1-2.html界面我不忍吐糟，易用性实在太烂了····杀软嘛，查杀重要，我们直奔主题
为了方便查看，本文分成三部分，分三次发帖
第一部分：实验部分 见1L
第二部分：分析部分 见2L
第三部分：总结部分 见3L

第一部分：实验部分
咱先试试所谓的高启发引擎
卡饭22日毒包
http://bbs.kafan.cn/thread-1472470-1-1.html
杀毒测试

联网状态
19/29还算可以

超高敏引擎也就21/29

断网

没了360云·····就这结果不是有”QHC高启发“吗？怎么回事？

大金鱼先生

第二部分：分析部分

”qhc启发式引擎“据说很厉害的啊，可以秒杀一切，那我就od稍微看一下呗
Peid告诉我，没加壳，那就省的我脱了，直接上OD

（顺便看出来，易语言写的杀毒）

1.360首先映入眼帘的，是post到360的查询

那个网站是返回文件的可信程度的，易语言论坛上早有例程
http://bbs.eyuyan.com/read.php?tid=295575&page=1
接着往下看，我发现啊，360云鉴定的部分还不是轻云自己写得， 照抄例程而已例程：




反汇编轻云：


我发现啊，原来例程里面用@来替代文件MD5再代替回去，结果很凑巧，轻云也是@···莫非
2.QHC
既然用了360的云，而且这个用法还不是自己写的，照搬人家例程，那么我们再来揭开“QHC高启发引擎”的真面目



剩下的我也没兴趣了，直接看ascii字符吧


原来调用了api的都是木马my god，没有360云帮他压误报的话难以想象啊········
果然高启发，高，实在是高
下面就好解释为啥上面断网没查杀的问题了，作者知道自己误报巨大，心虚，没有360的云不敢杀

大金鱼先生

第三部分 总结
所谓轻云杀毒，其实是抄袭得到的360云和字符串匹配的结合体，毫无技术含量可言，至于某些作者自吹自擂，我只能呵呵了。原来超高启发是这样练就的···个人表示很无语，希望某些软件及其作者不要继续欺骗用户，诚实一点，软件有不足可以理解，但是总不能到卡饭来欺骗大家，你说是不？也希望作者能够解释清楚
至此，轻云的绝大部分暴露在我们面前，但是鉴于我技术一般，可能分析有误，还望各位指正。请各位理性讨论（包括作者），欢迎技术交流


最后，·········写了半天，给点RQ总是要的吧

E剑忠晴

轻云变成了凌动
现在在弄凌动九天论坛

a22271001

轻云机制有问题，一断网就无法使用

大金鱼先生

E剑忠晴 发表于 2013-2-23 15:00
轻云变成了凌动
现在在弄凌动九天论坛

成功逃避了问题

E剑忠晴

大金鱼先生 发表于 2013-2-23 15:01
成功逃避了问题

轻云只是作者练手的软件

大金鱼先生

a22271001 发表于 2013-2-23 15:01
轻云机制有问题，一断网就无法使用

测试的时候发现了···不然我让他误报100

vm001

我相加，没权限

大金鱼先生

E剑忠晴 发表于 2013-2-23 15:01
轻云只是作者练手的软件

拿练手的软件来卡饭炫耀高启发？高查杀？自主？很负责任？很对得起大家？