没事找茬系列4:畸形rar带病毒下载保镖扫不出来？

显示全部楼层 · 发表于 2019-7-22 22:33:47

正常的话，360的下载保镖会扫描rar文档，如果rar里面的exe.lnk之类的有毒，被本地引擎扫到，或者跟云端的恶意的md5什么的匹配，就会隔离。

那畸形rar呢?

我找了一个恶意lnk:

1.lnk

360扫描必报的。压缩成rar也必报,自然，经过浏览器传输后，下载保镖也会报。

但是我处理一下，把它跟一个无毒的exe放到一起压缩，并且用16进制编辑器编辑一下，把文件头部的exe名字的字符改一下，

把fafafafafafsfdaffa.exe改成fafafafifafsfdaffa.exe

好了，360扫一下，没反应，浏览器传输一下，提示安全。。

这个rar能不能打开呢，我试了，winrar , 2345好压都能打开，也不会报错，360压缩不能打开。看来360压缩的安全性确实高，不能打开畸形rar。。。

-----------------------------

我推测为什么会出现360扫不出来。

我想，可能360卫士为了提高扫描的效率，从文件头判断是rar文件的内容吧。也就是为了性能做了点安全上的牺牲。

但也不排除真的有啥bug。所以我还是发出来讨论一下吧。

360杀毒没这个情况，我发现360杀毒有个unrar.dll.卫士没有。

附件是2ge测试样本，勿运行

显示全部楼层 · 发表于 2019-7-22 22:36:24

你好，感谢你的反馈，明天我们分析下吧。

显示全部楼层 · 发表于 2019-7-22 22:38:06

360主动防御发表于 2019-7-22 22:36
你好，感谢你的反馈，明天我们分析下吧。

我去，这么晚还没下班？

显示全部楼层 · 发表于 2019-7-23 09:01:54

kfne12 发表于 2019-7-22 22:38
我去，这么晚还没下班？

360员工，哪里兴下班哦

显示全部楼层 · 发表于 2019-7-23 16:21:02

kfne12 发表于 2019-7-22 22:38
我去，这么晚还没下班？

你好，提供的文件解压后是空白的，请问有具体样本吗。

显示全部楼层 · 发表于 2019-7-23 17:11:56

我这里可以扫描出来啊

显示全部楼层 · 发表于 2019-7-23 17:15:53

火绒扫不出来@火绒工程师

解压了也只扫描出一个

显示全部楼层 · 发表于 2019-7-23 17:31:39

360主动防御发表于 2019-7-23 16:21
你好，提供的文件解压后是空白的，请问有具体样本吗。

不是空白的。winrar.好压都打的开。360自带压缩打不开，所以显示空白

显示全部楼层 · 发表于 2019-7-23 17:32:59

zay365 发表于 2019-7-23 17:11
我这里可以扫描出来啊

我是360卫士beta.可能不一样吧。。。

显示全部楼层 · 发表于 2019-7-23 17:34:12

kfne12 发表于 2019-7-23 17:32
我是360卫士beta.可能不一样吧。。。

我也是最新的beta版啊

[讨论] 没事找茬系列4:畸形rar带病毒下载保镖扫不出来？

本帖子中包含更多资源

评分

本帖子中包含更多资源

本帖子中包含更多资源