测试了一下，火绒和360一样，某些病毒是用哈希值入库。

显示全部楼层 · 发表于 2019-4-18 19:56:54

测试了一下，火绒和360一样，某些病毒是用哈希值入库。用uedit把病毒里的0000改成1234，就不杀了。

@火绒工程师

显示全部楼层 · 发表于 2019-4-18 20:07:49

上样本

显示全部楼层 · 发表于 2019-4-18 21:25:04

这不就是最基本的免杀么随便改个字节都成
比特征码还低级的入库不应当吧

显示全部楼层 · 发表于 2019-4-18 23:36:46

安全守护者发表于 2019-4-18 20:07
上样本

从这个贴子下载Bootkit.Pitou (19.04.10)
https://bbs.kafan.cn/thread-2146966-1-1.html

用uedit打开，把前面部分0000改成1234,
你试试吧，我试过会中毒的。
样本发在这里。
密码 infected
https://bbs.kafan.cn/thread-2147601-1-1.html

显示全部楼层 · 发表于 2019-4-19 05:26:45

我之前写了个小东西，也是就把功能再封装了一下。。火绒就不报了。

显示全部楼层 · 发表于 2019-4-19 11:52:18

您好，问题收到了，我们这边测试一下，感谢反馈

显示全部楼层 · 发表于 2019-4-19 14:25:05

火绒拉黑哈希值的报法非常明显，直接就是Trojan.Generic.XXXXXX，这XXXXXX就是哈希值的前6位

显示全部楼层 · 发表于 2019-4-19 15:44:53

您好，感谢您的反馈, 这个样本确实没有做通杀处理, 已反馈给反病毒工程师及相关领导,并加强对样本通杀处理.在之后的使用过程中遇到问题随时联系我们

显示全部楼层 · 发表于 2019-4-19 23:01:06

由于离散样本太多，通常先拉黑，最后集中通杀。。

显示全部楼层 · 发表于 2019-4-19 23:01:53

风之咩~ 发表于 2019-4-18 21:25
这不就是最基本的免杀么随便改个字节都成
比特征码还低级的入库不应当吧

一般会现拉黑然后在通杀

[讨论] 测试了一下，火绒和360一样，某些病毒是用哈希值入库。