测试360 火绒 卡巴 腾讯管家对病毒样本加vmp壳后的扫描测试

pal家族

学雷锋做人 发表于 2017-1-5 14:17
@pal家族 我也不相信这是卡巴的实力，因为你是卡巴忠实用户，我觉得还是你比较有发言权

我技术水平太低，没法解释。只能去问下技术支持

pal家族

实机双击测试10个加vmp壳的病毒

KS 18.0.0.302 EN-US
Windows10 10240 LTSB x64

adam alpha cryto dummy manifest slimhem无法运行
asn1没有行为
brain maktub主防杀
MRCR 运行后几秒后退出

7个文件没法正常运行+闪退。一个没行为。剩下两个SW杀了。


@驭龙 @学雷锋做人

测试结果如此。我水平低，不发表其他结论


根据错误提示：
微软的解释是

错误消息
不能启动此应用程序。
原因
该应用程序未配置以使其可以确定适当版本的.NET Framework 运行时的一种。相应的填充代码为SHIM_NOVERSION_FOUND。
解决方案
您不能自己解决配置问题。

jefffire

是不是真的脱壳 ，需要对报毒名称，种类详细对比。不能光看加壳前后报了几个就断定是否脱壳。

先说360。 加壳后，不论白文件还是黑文件均有部分被QVM16.0.78D1 这个特征命中 可见这个特征分类实际上是壳特征，但并不是刻意提取的VMP特征，猜测是部分带壳病毒样本 在机器学习过程中被自动抽取的特征命中的结果。360并没有脱VMP壳的能力。

再看火绒。仅从截图看，加壳前后火绒报毒名称均是一致的。这说明确实脱掉了VMP壳 ，但是依然有部分样本没有成功脱掉，从而漏报。

再看管家。从表面来看似乎管家能够脱掉VMP壳。但从截图信息看，病毒文件加壳前后报毒名称并不相同。加壳前能够识别出样本的具体种类，加壳后则是模糊的Kryptik也即加密。可见管家其实是抓取了壳特征，并不是脱壳。至于为何白文件加壳后不报，猜测管家可能对常见白文件提前加壳测试，做了特征上的处理（此处值得商榷）。

反病毒测试员

学雷锋做人 发表于 2017-1-5 14:21
仅凭一个VMP外壳测试就说明卡巴不行，火绒最强，这是最盲目的，对于卡巴用户来说是不服的，比如12楼

我觉得测试最有说服力

学雷锋做人

pal  2017-1-5 14:47
10vmp

KS 18.0.0.302 EN-US

看来还是卡巴有经验，加壳并不能保证程序能正常运行

vm001

学雷锋做人 发表于 2017-1-5 14:17
@pal家族 我也不相信这是卡巴的实力，因为你是卡巴忠实用户，我觉得还是你比较有发言权

首先对这个测试第一个怀疑卡巴成绩的不是
@pal家族已经测试
而是火绒的官人，火绒的人也不相信卡巴会是0，而测试结果他却就是0了


然而这帖子我并没说谁最强，也并没有说脱壳能力，而是说测试加vmp壳的处理能力（脱壳不是唯一的处理方式）

测试帖子只是想阐明我个人观点，不管是国内杀软，国外杀软，没有谁就注定比谁高，也没有谁就比谁低。。
就拿这里几款软件对付这里提供的勒索来说
360加壳后扫描出3个，然而如果运行的话，360行为防御可以全部拦截
那反过来说360就最牛逼了吗，一样如果这种方式用在单文件exe或者白+黑远控上（免杀文件用新域名），360就要歇菜了。。
然后再看卡巴m，虽然扫描是0，但是主防可以拦截回滚一部分
那么再来说火绒，这样看来火绒对家族样本的抗免杀能力确实要比360强，然而那就代表火绒最牛逼了吗？同样不是，新的勒索出来还是有部分会哑火，一部分行为防御报毒。
在返回来说什么需要什么杀软保护你，是要根据你的使用环境来决定的，每个杀软有他突出的领域，也有他看不到的地方。。

驭龙

pal家族 发表于 2017-1-5 14:47
实机双击测试10个加vmp壳的病毒

KS 18.0.0.302 EN-US

我只是看热闹的，不关心结果。

RQ恢复中

skycai

jefffire 发表于 2017-1-5 14:48
是不是真的脱壳 ，需要对报毒名称，种类详细对比。不能光看加壳前后报了几个就断定是否脱壳。

先说360。 ...

这个有可能比较接近真相。
毕竟测试的白样本都是“常见”的白样本。
如果弄个不常见的白文件来加壳，说不定就有其他的结论了。

skycai

pal家族 发表于 2017-1-5 14:24
我技术水平太低，没法解释。只能去问下技术支持

免费版做了一定“阉割”的缘故？

pal家族

skycai 发表于 2017-1-5 14:55
免费版做了一定“阉割”的缘故？

这个超出了我的知识水平啊