改样本的MD5对杀软的检测有影响？

显示全部楼层 · 发表于 2020-2-9 01:28:36

本帖最后由 gbx972 于 2020-2-9 01:33 编辑

看到别人改MD5来测试，自己也来试一下，分别对智量2.09、2.51和火绒对相同的样本进行了测试。

智量2.09样本1

智量2.09样本1改MD5

智量2.09样本2

智量2.09样本2改MD5

智量2.51样本1

智量2.51样本1改MD5

智量2.51样本2

智量2.51样本2改MD5

火绒样本1

火绒样本1改MD5

火绒样本2

火绒样本2改MD5

显示全部楼层 · 发表于 2020-2-9 08:21:11

360以前改个md5就废了，现在卡巴斯基加壳下就不行了，还得靠主防懂吗

显示全部楼层 · 发表于 2020-2-9 08:56:55

发错区了吧，智量和火绒都不是国外的吧

显示全部楼层 · 发表于 2020-2-9 10:59:09

本帖最后由 huang1111 于 2020-2-9 11:02 编辑

如果是启发检测，应该对于MD5修改动作是免疫的

显示全部楼层 · 发表于 2020-2-9 11:12:43

本帖最后由 swizzer 于 2020-2-9 11:28 编辑

一些样本在识别时比较模糊（阈值刚过判黑的阈值），改MD5如果是填零，就会拉低阈值，导致启发不报毒。
以上仅针对ML。
@智量官方

来看下

显示全部楼层 · 发表于 2020-2-9 12:43:20

有过先例

https://bbs.kafan.cn/thread-2123033-1-1.html

正巧我现在还用着这款杀软，刚测试了几个样本，情况似乎依然没有改善多少。

显示全部楼层 · 发表于 2020-2-9 12:51:43

看杀软了，对于大多数厂商都有影响，对于诺顿卡巴这类云化程度比较高的杀软影响更严重，诺顿的Gen.2特征改个md5全都过了

显示全部楼层 · 发表于 2020-2-9 12:52:59

完全识别特征的情况下，改MD5基本上没作用。
但是能做到这点的少，而且MD5拉黑很多时候作为紧急措施确实好用。

显示全部楼层 · 发表于 2020-2-9 12:53:41

温馨小屋发表于 2020-2-9 12:51
看杀软了，对于大多数厂商都有影响，对于诺顿卡巴这类云化程度比较高的杀软影响更严重，诺顿的Gen.2特征改 ...

诺顿gen特征和horse特征全都是拉黑。
以前SEP那几千万的库就这么来的

显示全部楼层 · 发表于 2020-2-10 15:43:50

本帖最后由智量官方于 2020-2-10 16:35 编辑

swizzer 发表于 2020-2-9 11:12
一些样本在识别时比较模糊（阈值刚过判黑的阈值），改MD5如果是填零，就会拉低阈值，导致启发不报毒。
以 ...

您好如果文件被改坏了我们就不报了