#娱乐向 #业余向从各大杀软对篡改版 BlackSun 脚本勒索的反应看特征提取强度

显示全部楼层 · 发表于 2022-3-20 11:54:22

PS样本和PE不一样。。。

小红伞的PS检测似乎是后来才加的

显示全部楼层 · 发表于 2022-3-20 12:02:50

感觉还得多来两个样本做这样的测试，看的不过瘾

显示全部楼层 · 发表于 2022-3-20 12:12:25

a27573 发表于 2022-3-20 11:54
PS样本和PE不一样。。。

小红伞的PS检测似乎是后来才加的

真的假的。。以前红伞不检测PS文件吗

显示全部楼层 · 发表于 2022-3-20 14:44:12

这种自动机提取特征BD也挺强的，但是特征提取到哪个位置就看运气了，我之前写的那个Java勒索，删了一行debug代码卡巴的特征就被过了，反而BD坚持到最后，BD定位到了加密部分的代码，而卡巴没有。诺顿那种垃圾大概率改MD5就miss，特征实在太辣鸡，全靠advml补刀。

显示全部楼层 · 发表于 2022-3-20 14:49:47

syswow64 发表于 2022-3-20 14:44
这种自动机提取特征BD也挺强的，但是特征提取到哪个位置就看运气了，我之前写的那个Java勒索，删了一行debu ...

那次BD给的detection name是啥

显示全部楼层 · 发表于 2022-3-20 14:56:50

anthonyqian 发表于 2022-3-20 14:49
那次BD给的detection name是啥

BD是Java.Trojan.GenericGBA.29401

卡巴是HEUR:Trojan-Ransom.Java.Agent.gen

显示全部楼层 · 发表于 2022-3-20 15:07:45

syswow64 发表于 2022-3-20 14:56
BD是Java.Trojan.GenericGBA.29401

卡巴是HEUR:Trojan-Ransom.Java.Agent.gen

这个样本BD给的是Trojan.Agent的报法不知道是不是还是有差异…

显示全部楼层 · 发表于 2022-3-20 15:40:50

本帖最后由 wohaofan1200 于 2022-3-20 15:43 编辑

楼主的评测从细节来测试，可以看出传统引擎的基本功扎实不扎实，特征码提取的全面性及准确性，果然是内行看门道！支持原创！支持楼主对于各大杀软的建设性评测！

显示全部楼层 · 发表于 2022-3-20 15:52:25

anthonyqian 发表于 2022-3-20 15:07
这个样本BD给的是Trojan.Agent的报法不知道是不是还是有差异…

Trojan.Agent报法挺常见的，我那个可能是因为少见的jar格式样本才出现java特有报法

显示全部楼层 · 发表于 2022-3-20 16:15:48

本帖最后由 a27573 于 2022-3-20 16:20 编辑

anthonyqian 发表于 2022-3-20 12:12
真的假的。。以前红伞不检测PS文件吗

前几年（17-19左右吧）我用小红伞的时候，样本区的PS就没见过杀过，上报也不杀

过了一段时间突然发现有了ps1报法

也可能只是我测的样本数不够多

不过当时小红伞对PE强，对脚本弱是肯定的，不知道现在怎么样了

[技术原创] #娱乐向 #业余向 从各大杀软对篡改版 BlackSun 脚本勒索的反应看特征提取强度