0517高质量样本

温馨小屋

麻衣神相 发表于 2019-5-17 22:24
楼主认为对病毒报具体分类具体名称才是真的杀，我认为报Strictor、Packed、混淆器、伪造签名也算杀，说实 ...

我觉得和Packed还是有点差距的，在诺顿里Packed算启发式杀毒，应该是和AdvML差不多级别的，报毒名只有几个，而BD的Strictor每个样本都有不同的数字，我觉得可能是不同的样本收集自动机导致的名称不同。我也google了一下，其实BD这个报法也不完全是无意义的，似乎后门，下载者和数据窃取类病毒都会被分到这一类

温馨小屋

神算子 发表于 2019-5-17 22:25
如果是微软自带的防火墙加卡巴免费版可以防住吗

恐怕不行，微软的墙存在感不高，没有自动判断功能，也需要比较强的电脑知识才可以用好

麻衣神相

冰血封心 发表于 2019-5-17 22:32
就是上次BD拉黑了这个签名，上次的签名是伪造的，这次的签名是克隆的。就这么简单，另外的特征就是补丁。 ...

如果有这个签名的都是黑文件，BD真的是拉黑签名也不算误报，因为没有白文件用这个签名

麻衣神相

温馨小屋 发表于 2019-5-17 22:36
我觉得和Packed还是有点差距的，在诺顿里Packed算启发式杀毒，应该是和AdvML差不多级别的，报毒名只有几 ...

我知道有差距，只是打个不恰当的比方。所以我说类似而不是说一样，和你说的意思差不多

冰血封心

麻衣神相 发表于 2019-5-17 22:37
如果有这个签名的都是黑文件，BD真的是拉黑签名也不算误报，因为没有白文件用这个签名

是有白文件在用的，这个签名本身就是通过泄露的数字签名进行伪造的。能明白吗？这个是基本常识。这个团伙不会傻到自己伪造一个没用的签名。但是如果单纯的靠数字签名来判断程序有无恶意行为是不是误报？如果浏览器单纯克隆了这个签名也是病毒吗？那这杀毒依赖签名来分辨不就是玄学了？有时候一些破解软件克隆伪造签名只是为了在win7以上系统方便使用，这是微软的机制。比如驱动。

温馨小屋

麻衣神相 发表于 2019-5-17 22:31
BD报Strictor不是因为简单的破坏签名才报，也匹配了特征的，不然误报太高了。

数字签名清除之后BD依然可杀

温馨小屋

麻衣神相 发表于 2019-5-17 22:37
如果有这个签名的都是黑文件，BD真的是拉黑签名也不算误报，因为没有白文件用这个签名

拉黑签名应该是操作系统干的事，操作系统有专门的证书管理器，证书管理器显示这个证书已经被吊销，是无效的，杀毒软件顶多云判断一下，入库签名简直是天方夜谭

麻衣神相

冰血封心 发表于 2019-5-17 22:43
是有白文件在用的，这个签名本身就是通过泄露的数字签名进行伪造的。能明白吗？这个是基本常识。这个团伙 ...

当然明白，ccleaner、方正都出现过签名问题，都会换新的签名，把有问题的签名作废不再使用

神算子

kaba666 发表于 2019-5-17 22:33
关于你问的这个问题，我无法回答，因为我从来就没用过微软自带的防火墙，也从来没去测试过！我用卡巴，安 ...

看来还是要装comodo

神算子

kaba666 发表于 2019-5-17 22:33
关于你问的这个问题，我无法回答，因为我从来就没用过微软自带的防火墙，也从来没去测试过！我用卡巴，安 ...