【吐槽向】咖啡月神的一些观察

显示全部楼层 · 发表于 2022-4-7 16:47:14

kuroandsan 发表于 2022-4-7 16:28
找个样本包批量改一下看看（虽然好像有点缺德

这样太麻烦了，而且大量上传改过MD5的样本到VT好像不太好。。。

显示全部楼层 · 发表于 2022-4-7 16:49:11

bbszy 发表于 2022-4-7 16:32
诺顿好歹还有ips和sonar
咖啡过了就过了

咖啡过了扫描，还有RP静态和动态机学，还有NetGuard。企业版还有动态应用封锁，可以玩规则。。。

显示全部楼层 · 发表于 2022-4-7 17:00:06

anthonyqian 发表于 2022-4-7 16:47
这样太麻烦了，而且大量上传改过MD5的样本到VT好像不太好。。。

改md5前后的检出率对比，虽然我感觉没啥用

显示全部楼层 · 发表于 2022-4-8 00:48:42

又找到一个Devos Ransomware 里面原先VT一片绿，最近两天Avast拉黑，几个小时后咖啡月神拉黑的文件Machining.exe

Devos Ransomware真的是杀软的照妖镜啊。。。

显示全部楼层 · 发表于 2022-4-8 03:25:00

anthonyqian 发表于 2022-4-8 00:48
又找到一个Devos Ransomware 里面原先VT一片绿，最近两天Avast拉黑，几个小时后咖啡月神拉黑的文件Machinin ...

这么说avast拉黑速度快而且有一定的独立性

显示全部楼层 · 发表于 2022-4-8 07:37:26

本帖最后由 anthonyqian 于 2022-4-8 07:38 编辑

bbszy 发表于 2022-4-8 03:25
这么说avast拉黑速度快而且有一定的独立性

虽然不能排除是avast的误报，但在独立性方面是做到了

显示全部楼层 · 发表于 2022-4-8 12:10:08

正常，wd还会随时跟着变呢，今天报毒名是这个，明天某杀软变了，它就跟着变

显示全部楼层 · 发表于 2022-4-8 12:15:36

anthonyqian 发表于 2022-4-7 12:00
当然还有一些小厂，比如卡巴的坚定的跟屁虫 Lionic（偶尔还会跟一跟BD）、伪AI的MAX（VT报的引擎越多，AI ...

不只是飞塔，wd一样会抄，甚至诺顿也抄，有时候卡巴也抄。确实比较有意思，记得有一次wd先报，然后卡巴报，接着咖啡和双a报，接下来bd报。比较有意思的是卡巴换了3次报法，wd更有意思的是一会报毒一会不报毒，而且报毒的时候名字也换来换去的，诺顿和咖啡也换了一次名字

显示全部楼层 · 发表于 2022-4-8 12:54:14

ikochina 发表于 2022-4-8 12:15
不只是飞塔，wd一样会抄，甚至诺顿也抄，有时候卡巴也抄。确实比较有意思，记得有一次wd先报，然后卡巴报 ...

这都不够实锤。也许是厂商从VT获取样本后分析为恶意了。MD依赖ML，检测名一直都不稳定，但和别的厂商怎么报毫无关系。卡巴也是，可能后续人工分析后觉得其他的报法更贴切。

显示全部楼层 · 发表于 2022-4-9 22:41:09

0809年看电脑杂志的时候卡巴的总裁都说了，杀毒软件厂商都会定期交换病毒库的

[讨论] 【吐槽向】咖啡月神的一些观察