火绒应当加强对于伪签名文件的测报策略

陈识宇

样本：http://bbs.kafan.cn/thread-1476758-1-1.html
    白加黑远控木马
   
    178.zip里面的QvodStatistic.dll，伪装360签名，不能通过签名验证。伪装的签名文件——仅凭此一点极可能就是披着羊皮的狼！过火绒扫描

建议火绒：
添加对于伪签名文件的测报策略

Ｔo_c_c_i_.

呵呵亲那个我以前反应过了首先QvodStatistic.dll文件就算不添加数字签名 火绒扫描也是安全的。早在以前火绒就已经仿 位数字证书签名 了我给V大

vm001

如果都去杀伪签名的就等着喀喀喀的误报吧

Ｔo_c_c_i_.

vm001 发表于 2013-3-2 12:29
如果都去杀伪签名的就等着喀喀喀的误报吧

火绒已经入库，星期一升级 下步会添加云 误报会大量减少

daojianwuhen

火绒更像是hips

√×√×√√×

vm001 发表于 2013-3-2 12:29
如果都去杀伪签名的就等着喀喀喀的误报吧

囧，加了云之后火绒主防对付白加黑如何就得另说了，另外服务器压力还是个问题 囧囧

陈识宇

Ｔo_c_c_i_. 发表于 2013-3-2 12:25
呵呵亲那个我以前反应过了首先QvodStatistic.dll文件就算不添加数字签名 火绒扫描也是安全的。早在以前火绒 ...

这可不一样啊
不签名不报情有可原——没有捕捉到病毒（特征）；伪签名，则是明显的假装好人，坏人的嫌疑极高，等于是不打自招，相当于减少了识别坏人的难度。
360的QVM，想必一定不会放过——这也许就是那高查杀的原因之一，合理的、命中概率极高的“有罪推定”=启发方式

Ｔo_c_c_i_.

陈识宇 发表于 2013-3-2 14:40
这可不一样啊
不签名不报情有可原——没有捕捉到病毒（特征）；伪签名，则是明显的假装好人，坏人的嫌 ...

这个火绒早就可以防 了 以前就和官人探讨次问题 还专门用数字签名添加工具 添加了 火绒 360 毒霸等签名 官人都验证过了

Ｔo_c_c_i_.

√×√×√√× 发表于 2013-3-2 13:25
囧，加了云之后火绒主防对付白加黑如何就得另说了，另外服务器压力还是个问题 囧囧

亲 主防还是靠行为拦截 ，云只是辅助 火绒的扫描，因为光靠启发杀毒还是太弱，所以添加云

陈识宇

Ｔo_c_c_i_. 发表于 2013-3-2 15:54
亲 主防还是靠行为拦截 ，云只是辅助 火绒的扫描，因为光靠启发杀毒还是太弱，所以添加云

你说的是主防吗，我没有试过。

但是，扫描现在还不能识别。当然啦，只要能防住就不错，不能强求扫描，本来就应该以防为主。