Ikarus antivirus对大部分恶意文件仅仅只是拉黑MD5（诚招双击）

卡江东N

Dust-;羅錠 发表于 2018-5-18 21:59
我只能说他现在已经不如瑞星了。

如果他真的已经开始用MD5来当特征库的话，那也就跟智慧星差不多了

wohaofan1200

震惊，当年大神们对妖刀的评价都是说它高查杀，连Emsisoft和Ashampoo都OEM过它的引擎，查杀率要高于卡巴、红伞和nod32等

Dust-;羅錠

wohaofan1200 发表于 2018-5-18 22:16
震惊，当年大神们对妖刀的评价都是说它高查杀，连Emsisoft和Ashampoo都OEM过它的引擎，查杀率要高于 ...

我也是万万没想到，IK竟然堕落至此。

劲野

比瑞星牛，据说当年瑞星查杀病毒之所以快——只检查文件头尾。

gold2007

还是用Dr.Web吧

petr0vic

i modifed this sample
https://bbs.kafan.cn/thread-2122936-1-1.html
https://www.virustotal.com/en/fi ... fbf40f9b1/analysis/

modifed result
https://www.virustotal.com/en/fi ... nalysis/1526667255/

Dust-;羅錠

petr0vic 发表于 2018-5-19 02:24
i modifed this sample
https://bbs.kafan.cn/thread-2122936-1-1.html
https://www.virustotal.com/en/f ...

So we can know that, after modifying this sample, Ikarus and Malwarebytes are unable to detect it.

Can we draw a conclusion from this? Do they all detect malicious files based on MD5?(In varying degrees)

What's more interesting is that, before modifying: MAX malware (ai score=100), after: malware (ai score=84)

petr0vic

webroot


modifed

Dust-;羅錠

petr0vic 发表于 2018-5-19 03:36
webroot

I just update my post, see again and you will find more interesting things.

B100D1E55

汗。。真的诶。当然ikarus估计还是有一些更复杂的静态分析的成分在里面（早年遇到过一个巨冷门injector只有ikarus能杀），但是这个鲁棒性很囧了，随便改一下就杀不出来，三观破裂。如果靠纯hash入库，库体积会很大，但估计Ikarus实际用的方法不会好到哪里去
扫得快主要是因为静态匹配大概，至于VT上那一系列AI score之类的，你拿hex编辑器随便改改样本就知道，样本执行结果不变的前提下，不报毒的可以改成报毒的，报毒的可以改成不报毒的，纯粹就是个笑话