【06.06】1000x 样本合集

显示全部楼层 · 发表于 2021-6-7 00:31:15

anthonyqian 发表于 2021-6-7 00:01
看了下你们的样本，用eset扫了一下，检测到的数目和前几天测的没有变化。

首先为什么要用上百个包含钓 ...

请把你说的有问题的样本给我，我给Apocaly看下是否有问题
钓鱼链接放在PDF中查杀测试是很通常的做法，具体哪个杀软不能查杀这种呢？
钓鱼目前基本都是靠拉黑，网站是否挂了并不重要

显示全部楼层 · 发表于 2021-6-7 00:47:19

BFAX 发表于 2021-6-7 00:31
请把你说的有问题的样本给我，我给Apocaly看下是否有问题
钓鱼链接放在PDF中查杀测试是很通常的做法，具 ...

你之前说office样本是有水分的，我想这些PDF样本水分更大吧。。。一些杀软用URL过滤器的方式或是浏览器插件的方式处理钓鱼链接，未必拉黑整个PDF文件，但这不代表这些杀软无法检测样本。还有像是智量，本身也不拦截钓鱼链接。用那么多此类PDF样本，就很不公平。

剩下的exe除了无法运行的，大多数是pup，这个入库标准就很有弹性，也不太能看出一个杀软的真实水平。

建议下次制作样本包的时候，用有明确恶意行为的样本。

显示全部楼层 · 发表于 2021-6-7 01:18:14

本帖最后由 BFAX 于 2021-6-7 01:43 编辑

anthonyqian 发表于 2021-6-7 00:47
你之前说office样本是有水分的，我想这些PDF样本水分更大吧。。。一些杀软用URL过滤器的方式或是浏览器插 ...

具体有哪些杀软是单靠插件拦截钓鱼网站的呢？
卡巴斯基扩展就包含拦截钓鱼网站的工作、URL过滤也能拦截钓鱼网站，不过卡巴的扫描仍然会查杀PDF里的钓鱼网址就像完整杀软有主防有监控也有扫描一样，并不冲突，除了智量外，还有哪些杀软不查杀钓鱼链接吗？
PUP\PUA我们认为仍然有必要加入测试
除了PUP，其他的打包一份给我吧，我们再确认下，如果可以的话把不能运行的分开打包下

显示全部楼层 · 发表于 2021-6-7 01:40:32

BFAX 发表于 2021-6-7 01:18
具体有哪些杀软是单靠插件拦截钓鱼网站的呢？
卡巴斯基扩展就包含拦截钓鱼网站的工作、URL过滤也能拦截 ...

靠插件拦截的，比如说诺顿。

对含钓鱼链接的PDF的检测方式因杀软而异。至少我机子上的eset就不是按照你说的样子检测的，尽管文件不杀，但访问其中的钓鱼链接还是能拦截。

pua可以加入，但比例我个人觉得太高。我实在没时间对上百个样本一个一个分析，比方说rmtfdmflsflemfntjtabif这个就似乎没有明显恶意行为。还有这个rmtfdmflsflemfntjtabdw。

显示全部楼层 · 发表于 2021-6-7 02:00:26

anthonyqian 发表于 2021-6-7 01:40
靠插件拦截的，比如说诺顿。

对含钓鱼链接的PDF的检测方式因杀软而异。至少我机子上的eset就不是按照 ...

ESET是能杀PDF钓鱼的

你试的那个ESET不杀但是打开能拦截是哪个？
样本里是有网页的链接和内容的，如果是玄学问题，那只能说等杀软改进，我们也没办法，不过这种样本以后也会尽量减少
某些杀软明显的蹲点行为限制了我们的样本源，考虑之后去掉相关杀软的测试部分，这样某类样本占比限制就比较容易了

显示全部楼层 · 发表于 2021-6-7 02:28:36

BFAX 发表于 2021-6-7 02:00
ESET是能杀PDF钓鱼的

你试的那个ESET不杀但是打开能拦截是哪个？

随便双击了前面三个PDF：rmtfdmflsflemfntjtaaah rmtfdmflsflemfntjtaaal rmtfdmflsflemfntjtaaam，就属于eset扫描miss但访问PDF内的链接可以拦截的情况。

显示全部楼层 · 发表于 2021-6-7 06:40:34

好家伙，我都没看出样本来源，结果一眼就被智量官人看出来了

显示全部楼层 · 发表于 2021-6-7 08:31:08

本帖最后由 BFAX 于 2021-6-7 08:49 编辑

anthonyqian 发表于 2021-6-7 02:28
随便双击了前面三个PDF：rmtfdmflsflemfntjtaaah rmtfdmflsflemfntjtaaal rmtfdmflsflemfntjtaaam，就 ...

那这就属于玄学问题了，我们也没法
如果因为这个而改变测试内容，那顺着这个思路下去扫描测试整个都不用做了
扫描miss双击kill的多的是，不只是这些pdf会这样，也不可能每个杀软扫描剩余双击能拦截的都不作数吧

---------------------
Apocaly的回应：

发现火绒的确不杀这些含钓鱼链接和页面的PDF，择日重新筛选样本测试，去除钓鱼PDF，对钓鱼网站的测试可能会像双击主防测试一样单独进行测试

显示全部楼层 · 发表于 2021-6-7 09:59:25

BFAX 发表于 2021-6-6 19:19
原测试报告:http://bbs.anrlm.com:8888/thread-1355123-1-1.html

为啥你测的智量的查杀率比首测查杀率还 ...

Apocaly是个啥玩意儿？

显示全部楼层 · 发表于 2021-6-7 10:17:09

BFAX 发表于 2021-6-6 23:22
本期测试样本我们没有放压缩包，也没有改后缀名做无害化处理
之前的样本包我们没测智量，不过可能有被转 ...

你好，对于测试智量的热心用户，我们是非常感谢，没有不愿意参与测试的想法的.

[病毒样本] 【06.06】1000x 样本合集

本帖子中包含更多资源

本帖子中包含更多资源