火绒软件安装拦截功能的技术实现

潘中医

   相信大家对火绒的软件安装拦截有了一定的体验了解，在这里简单说明下该功能的技术实现细节。

    近几年，免费软件通过大量推广，迅速占领用户终端然后进行流量变现已经是标准模式。下载站，软件本身，甚至病毒都变成推广渠道。由于越来越多的安全软件对“推广安装”进行拦截，推广软件方也进行了类似以前病毒的“免杀”主要有以下两大类方式。
安装包免杀：
     大量推广安装包是经过动态重打包：MD5动态变化。

寄生无安装包安装：（在推广软件中直接内置推广DLL或代码）
     某驱动安装工具，使用自身程序拖文件代替安装程序“安装” 某安全软件，再比如某视频软件客户端服务程序拖组件代替安装程序“安装”某安全软件等等

为了保持比较好的拦截效果，火绒软件安装拦截使用了以下两类基础的安全技术

1.使用了反病毒引擎的查杀技术（对，没错是反病毒引擎）
   由于推广软件安装包的“免杀”使用反病毒引擎进行“深度”扫描就变的非常重要。
这种方法是：在软件安装包被运行前扫描识别“被用户举报的存在渠道静默推广的软件”进行用户的安装提示。利用火绒反病毒引擎的抗变化能力来应对推广“免杀”。 国外安全产品如ESET，对国内一些推广软件报PUA 也是采用一样的方式。

2.使用了动态行为分析技术
   由于推广软件的寄生推广方式“在用户正常使用的软件程序中直接进行《安装》行为”，使用动态防御技术就变得非常必要
这种实现方法是：利用火绒的行为分析系统，对拖文件“组件”这种行为进行模式识别，并在其发生的过程中阻断（保持程序其它行为的正常运行）


原帖：
http://bbs.huorong.cn/thread-18374-1-1.html

haoge250

就是不知道实战怎么样。

猪头无双

一个沙盒就能搞定，随你下载，之后清爽干净

zmyx279323199

需要立法管管了，推广慢慢的走歪的