恶意DLL文件 #signed 带有效数字签名

显示全部楼层 · 发表于 2021-12-8 17:40:32

本帖最后由 aboringman 于 2021-12-8 21:16 编辑

360：

D:\360极速浏览器下载\test\44538.6004037037.dat2 感染型病毒(Win32/Trojan.Injuke.HgkAShkA) 已删除
D:\360极速浏览器下载\test\44538.6004037037.dat 感染型病毒(Win32/Trojan.Injuke.HgkAShkA) 已删除

复制代码

红伞：

12/08/2021,21:14:56.008 [INFO] FP 报告文件 'D:\test\44538.6004037037.dat' 的“无误报”状态 [I:10, S:111]
12/08/2021,21:14:56.011 [INFO] 文件已通过 Protection Cloud扫描。 SHA256 = D:\test\44538.6004037037.dat [I:2, S:0]
12/08/2021,21:14:56.012 [INFO] D:\test\44538.6004037037.dat
12/08/2021,21:14:56.014 [INFO] [DETECTION] file contains 'TR/Redcap.67e053'
12/08/2021,21:14:56.466 [INFO] FP 报告文件 'D:\test\44538.6004037037.dat2' 的“无误报”状态 [I:10, S:111]
12/08/2021,21:14:56.469 [INFO] 文件已通过 Protection Cloud扫描。 SHA256 = D:\test\44538.6004037037.dat2 [I:2, S:0]
12/08/2021,21:14:56.471 [INFO] D:\test\44538.6004037037.dat2
12/08/2021,21:14:56.473 [INFO] [DETECTION] file contains 'TR/Redcap.732fd0'

复制代码

显示全部楼层 · 发表于 2021-12-8 17:47:37

火绒

显示全部楼层 · 发表于 2021-12-8 20:21:01

毒霸

显示全部楼层 · 发表于 2021-12-8 21:46:33

Avast all
Win32:DangerousSig[Trj]

显示全部楼层 · 发表于 2021-12-9 11:49:57

anthonyqian 发表于 2021-12-8 17:28
其实BDTS这个 Gen:Variant.XXX.数字报法好像也是机器学习的，就不太清楚它和HD有啥区别

这个应该是大规模入库之后由BD的云机器学习模型进行自动特征捕获和转化之后还没来得及细分的特征家族（其实很少有能精确命名的家族），没HEUR就应该只是机器学习做的通杀特征，不需要启发式分析，HD那个有很多奇妙的大招和新模型，和单纯的Gen报法似乎有很大区别，另外说一句HD也是在本地的，压根不怕断网

显示全部楼层 · 发表于 2021-12-9 11:56:49

隔山打空气发表于 2021-12-9 11:49
这个应该是大规模入库之后由BD的云机器学习模型进行自动特征捕获和转化之后还没来得及细分的特征家族（其 ...

由BD的云机器学习模型进行自动特征捕获和转化

然而这个报法也是本地的。。。BD不怎么靠云，只有Suspicous.Cloud这种才是靠云的。

显示全部楼层 · 发表于 2021-12-9 11:58:48

anthonyqian 发表于 2021-12-9 11:56
然而这个报法也是本地的。。。BD不怎么靠云，只有Suspicous.Cloud这种才是靠云的。

我的意思是那个云上转化好了直接更新病毒库给咱们本地用，不是跟360那种的直接连云，话说suspicious.cloud这种报法特别少啊，大部分不是GKD就是Gen

显示全部楼层 · 发表于 2021-12-9 12:09:15

隔山打空气发表于 2021-12-9 11:58
我的意思是那个云上转化好了直接更新病毒库给咱们本地用，不是跟360那种的直接连云，话说suspicious.clou ...

GenericKD 这种都是自动机拉黑的，可以抵抗小修改。

还有Trojan.GenericFCA.Agent.数字这种，这种好像都是人工快速拉黑，不做具体特征的分析，过一段时间有可能会被其他报法替代。

Suspicious.cloud有的，昨天还遇到了

另外不建议把启发和机器学习对立起来。

显示全部楼层 · 发表于 2021-12-9 15:19:44

anthonyqian 发表于 2021-12-9 12:09
GenericKD 这种都是自动机拉黑的，可以抵抗小修改。

还有Trojan.GenericFCA.Agent.数字这种，这种好 ...

抱歉我应该没表达好自己的意思...其实严格意义上讲绝大多数检测都有机器学习的参与，对于启发式算法我没有对立的意思...下次我会表达清楚的，尽量避免歧义
还是谢谢您，学习了

[病毒样本] 恶意DLL文件 #signed 带有效数字签名