搜索
楼主: anthonyqian
收起左侧

[技术原创] #娱乐向 #业余向 从各大杀软对篡改版 BlackSun 脚本勒索的反应看特征提取强度

  [复制链接]
a27573
发表于 2022-3-20 11:54:22 | 显示全部楼层
PS样本和PE不一样。。。

小红伞的PS检测似乎是后来才加的

alalei
发表于 2022-3-20 12:02:50 | 显示全部楼层
感觉还得多来两个样本做这样的测试,看的不过瘾
anthonyqian
 楼主| 发表于 2022-3-20 12:12:25 | 显示全部楼层
a27573 发表于 2022-3-20 11:54
PS样本和PE不一样。。。

小红伞的PS检测似乎是后来才加的

真的假的。。以前红伞不检测PS文件吗
syswow64
发表于 2022-3-20 14:44:12 | 显示全部楼层
这种自动机提取特征BD也挺强的,但是特征提取到哪个位置就看运气了,我之前写的那个Java勒索,删了一行debug代码卡巴的特征就被过了,反而BD坚持到最后,BD定位到了加密部分的代码,而卡巴没有。诺顿那种垃圾大概率改MD5就miss,特征实在太辣鸡,全靠advml补刀。
anthonyqian
 楼主| 发表于 2022-3-20 14:49:47 | 显示全部楼层
syswow64 发表于 2022-3-20 14:44
这种自动机提取特征BD也挺强的,但是特征提取到哪个位置就看运气了,我之前写的那个Java勒索,删了一行debu ...

那次BD给的detection name是啥
syswow64
发表于 2022-3-20 14:56:50 | 显示全部楼层
anthonyqian 发表于 2022-3-20 14:49
那次BD给的detection name是啥

BD是Java.Trojan.GenericGBA.29401

卡巴是HEUR:Trojan-Ransom.Java.Agent.gen
anthonyqian
 楼主| 发表于 2022-3-20 15:07:45 | 显示全部楼层
syswow64 发表于 2022-3-20 14:56
BD是Java.Trojan.GenericGBA.29401

卡巴是HEUR:Trojan-Ransom.Java.Agent.gen

这个样本BD给的是Trojan.Agent的报法 不知道是不是还是有差异…
wohaofan1200
发表于 2022-3-20 15:40:50 | 显示全部楼层
本帖最后由 wohaofan1200 于 2022-3-20 15:43 编辑

楼主的评测从细节来测试,可以看出传统引擎的基本功扎实不扎实,特征码提取的全面性及准确性,果然是内行看门道!支持原创!支持楼主对于各大杀软的建设性评测!
syswow64
发表于 2022-3-20 15:52:25 | 显示全部楼层
anthonyqian 发表于 2022-3-20 15:07
这个样本BD给的是Trojan.Agent的报法 不知道是不是还是有差异…

Trojan.Agent报法挺常见的,我那个可能是因为少见的jar格式样本才出现java特有报法
a27573
发表于 2022-3-20 16:15:48 | 显示全部楼层
本帖最后由 a27573 于 2022-3-20 16:20 编辑
anthonyqian 发表于 2022-3-20 12:12
真的假的。。以前红伞不检测PS文件吗

前几年(17-19左右吧)我用小红伞的时候,样本区的PS就没见过杀过,上报也不杀

过了一段时间突然发现有了ps1报法

也可能只是我测的样本数不够多

不过当时小红伞对PE强,对脚本弱是肯定的,不知道现在怎么样了

您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2022-5-18 15:11 , Processed in 0.106949 second(s), 15 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究,不得将上述内容用于商业或者其他非法用途,否则产生的一切后果自负,本站信息来自网络,版权争议问题与本站无关,您必须在下载后的24小时之内从您的电脑中彻底删除上述信息,如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表