杀软反病毒特征名脱库

Jerry.Lin

Github 传送门

反病毒特征名 dump
Antivirus Detection Dump

基本思路
1. 使用 procdump dump杀软进程内存
2. 使用 strings 提取字符串，Regex匹配|区域搜索
3. 分类并排序导出为CSV

遇到的问题
1. PPL 保护 （已解决，使用PPLKiller）

目前支持的杀软：
火绒
扫描引擎特征名，恶意行为监控特征名（ADV）

卡巴斯基
扫描引擎特征名，PDM（SW）特征名

Malwarebytes
扫描引擎特征名，DDS 特征名

使用方法
对应子文件夹内分别存放提取出的CSV文件

提供1个PS脚本供自行导出
1. 下载 Sysinternals 并加入PATH, 或从应用商店安装
2. 使用 PPLKiller 关闭PPL对杀软进程的保护，否则无法dump内存
3. 关闭自我保护（见列表）
4. 运行

1. powershell -executionpolicy bypass -File .\AV_DUMP.ps1 $Name

复制代码

名称	PPL	是否需要关闭自保	特征来源	准确度
火绒	NO	NO	BASE	High
卡巴斯基	YES	YES	BASE, PDM	Medium
Malwarebytes	YES	NO	BASE, DDS	High

一些有意思的发现

火绒ADV侦测少的可怜；特征名带有!submit 猜测是做遥测用的隐藏侦测，目前库中数量大概有800条。

卡巴的PDM远没有表面看起来这么简单（一个侦测名PDM:Trojan.Win32.Generic打遍天下）

事实上PDM有数千条不同的特征，涵盖单步和多步的侦测，其中还有slient 的隐藏侦测，不得不说非常全面。

Malwarebytes 的PUP特征占了近半







后续要做的

1. 更完善的Regex (会写正则的欢迎contribute)
2. 更多杀软


*ESET 别想了，看到内存里好多混淆的字符串，不知道是不是因为ESET的库是编译出来的，可能得详细逆向（不会

wajika

什么意思，就是从内存里 把 所有病毒名称取出来？

ytysh

建议楼主去厂商工作

swizzer

希望后续能支持Norton（SONAR）

wwwab

swizzer 发表于 2021-11-14 17:48
希望后续能支持Norton（SONAR）

那个玄学的东西可是个大功夫