笑笑笑槑了：看乌云大牛揭秘，TAV引擎其实是缩水款瑞星！

絕倫独舞

http://weibo.com/3605736194/C45dnpANc
@乌云知识库：#技术分享# 今日的精品文来了，你是否对杀毒软件其原理充满好奇，是否渴望了解其内部机制，今日精品感谢大牛 Variable 投稿的作品 《轻量级“瑞星”——腾讯电脑管家TAV引擎逆向分析》详细分析了 tav 引擎的技术细节，速度点击 http://drops.wooyun.org/tips/4931
亮点：
一直有传闻说腾讯管家研发主力是挖的瑞星的人，然后也推出了自主的TAV引擎。从我个人分析来看，TAV确实很像一个轻量级的瑞星，包括文件名、数据结构和解密方法都非常接近。
很多人吐槽腾讯搞安全是不务正业，其实仔细来看，TAV还是有自己的优势和特点的，比如杀毒之后能够还原一部分被病毒破坏的注册表和文件。另外它的内存查杀也不错，可以扫描内存、创建和病毒一样的互斥，防止病毒再次运行。
不过毕竟是初生“小狮子”，TAV相比瑞星还是有很多不足，最明显的缺陷是免杀比较简单，由于TAV引擎用的是字符串明文检测，很容易通过分析病毒库或者是MYCCL等进行黑盒免杀。另一方面，TAV的效率比较低，包括特征数据结构弱, 特征复用等方面的问题，后面会有详细分析。
值得一说的是，逆向TAV的特征库可以看到，外{过}{滤}挂特征比病毒、后门特征都多，排在了特征数量的第二名，说腾讯电脑管家是“外{过}{滤}挂杀手”一点都不夸张。盗号木马则是TAV另一个重点打击的对象，在特征库占比也不低。至于感染型病毒、后门、下载者、蠕虫、恶意脚本等其它类型的木马病毒，还需要OEM的小红伞引擎或者云引擎来补位，否则单靠TAV肯定是无能为力的。
传统杀软最容易出现的几个问题：效率低、体积庞大、对抗门槛低。这几个问题在TAV身上尤为明显。只是现阶段TAV特征数量极低，暂时未大规模展现而已。
a) 体积大。
现有的查杀方式设计会导致病毒库臃肿，庞大的二进制数据和字符串数据记录在病毒库中，随着特征增加，病毒库体积会急速膨胀。在同等特征数量的情况下，TAV病毒库将会比卡巴、BD等杀软大上数十倍。
b) 效率低。
逐个匹配特征的方式，会随着病毒库膨胀而使得效率变得越来越低。卡巴、BD等杀软为解决此问题，设计出了多索引的方式，只有在最后一层才匹配几个特征，效率非常高。
c) 对抗门槛低。
匹配代码在内存中明文存在。
使得无论木马作者通过分析病毒库来免杀还是通过MYCCL等黑客工具进行黑盒免杀都极为容易。
d) 特征无复用。
TAV的TOP50特征，可见出现大量重复二进制。特征之间基本无复用。
比如某个非常简单的Downloader木马，作者调用了URLDownloadToFileW下载一个木马，然后调用WinExec执行木马。整个过程非常简单，只用到2个Windows API，并且没有额外的代码来对抗虚拟机，而TAV引擎却无法查杀：

同样的样本，扫描对比国外知名杀软，则可以通过虚拟机动态检出

围观全文：http://drops.wooyun.org/tips/4931

我是路人甲

国内的百度不也一样啊，哈哈

bzaf868

缩水款瑞星

有点误导

至尊潮流

@pizza 快来洗地 顺便说下腾讯一直是行业的标杆 360一直在模仿腾讯

我是笨蛋

不要贬低中国企业标杆代表，腾讯模式是不可替代的，众多厂商都要膜拜的公司，他拥有完全自主研发的即时通讯软件，有自己建立的游戏系统，有独一无二可以升级聊天工具等级的杀毒软件，这是任何公司都做不到的，膜拜吧

伤花

突然想到一句话，不知道在哪里看过，一直在模仿，从未怎么样。

22667999

必胜客怎么还没来洗地。。

yjwfdc

比不会扫内存的360好太多了。

360快赶上。

pizza

路过看看～

Toms123

我是笨蛋 发表于 2015-2-13 17:49
不要贬低中国企业标杆代表，腾讯模式是不可替代的，众多厂商都要膜拜的公司，他拥有完全自主研发的即时通讯 ...

要是没有防火长城，早不用腾讯了