各家安软对于样本的检测方式【转载】

显示全部楼层 · 发表于 2022-6-8 19:17:40

没看懂沙盒模拟和运行前模拟有什么区别

指的是 binary interpret 吗？卡饭论坛里一般称为动态启发式的玩意（看火绒的沙盒模拟那一项，应该是了）

如果是这个的话，这不是 ESET 主打的技术之一吗？（高级启发式/ DNA 签名）

显示全部楼层 · 发表于 2022-6-10 00:34:17

本帖最后由 kakenhi 于 2022-6-10 01:20 编辑

n257368 发表于 2022-6-8 19:17
没看懂沙盒模拟和运行前模拟有什么区别

指的是 binary interpret 吗？卡饭论坛里一般称为动态启发 ...

https://www.vmray.com/cyber-secu ... -enhanced-analysis/

emmm看了一下原文被删了。。谷歌还有快照。
搜索：back to the past using intel processor trace for enhanced analysis

讲个故事。很早以前我写了个peloader，加载mimikatz，载荷是加密的。但把这个exe丢到windows defender里面，我还没运行，defender就告诉我这是个mimikatz。更令我惊讶的是，我重新在程序头部加了个ExitProcess(0)后编译，defender也告诉我这是mimikatz，就好像完全无视了我开头的那个退出程序语句，而直接跳转到后面去跑了一样。

后来过了很久才了解到，这种技术叫符号执行。但之前我已经猜到defender可以用一种类似于暴力crack的技术无视程序分支并预测程序后面的动作，所以使用了一个偏脑筋急转弯的方法bypass了这个技术。如你所见，这篇文章是2015年的，符号执行这个技术已经很老了。据我所知，火绒、360、奇安信、卡巴、defender、赛门等多种杀软都采用了该技术，而赛门对该技术的实现，是最难使用我刚才所说的“脑筋急转弯”式技巧绕过的。当然从特点上大家也应该能想到，该技术不光用于杀软的反病毒引擎，也用于威胁情报界的海量样本筛选。

遗憾的是，现在很多红队开发者还对该技术一无所知。比如我们的一位同事天真的认为，天擎对他的loader报毒：injector，是因为病毒分析人员抓获分析了他样本后将其归类的。然而我的看法是：这个报毒明显就是符号执行技术自动跑出来的。

显示全部楼层 · 发表于 2022-6-10 00:36:51

kakenhi 发表于 2022-6-8 17:25
沙盒很明显卡巴也有，这个做过钓鱼样本的都知道，如果不做对抗处理，就会上一堆俄罗斯的调试机。而且他那个 ...

运行前模拟，指的是Heur.Advml.ABC吗

显示全部楼层 · 发表于 2022-6-10 00:45:11

huangzihang 发表于 2022-6-10 00:36
运行前模拟，指的是Heur.Advml.ABC吗

你这个翻译过来就是：启发式.高级机器学习.xxx

机器学习是通过对PE的各特征部分采样学习，让机器从统计规律上找出恶意软件与正常软件的区别。既然是基于统计学规律，那这很明显是一种偏静态的手段，不能说是运行前模拟。

显示全部楼层 · 发表于 2022-6-10 00:47:19

kakenhi 发表于 2022-6-10 00:45
你这个翻译过来就是：启发式.高级机器学习.xxx

机器学习是通过对PE的各特征部分采样学习，让机器从统 ...

可我之前测诺顿的时候，扫描不杀，双击Advml.B

显示全部楼层 · 发表于 2022-6-10 01:02:20

本帖最后由 kakenhi 于 2022-6-10 01:03 编辑

huangzihang 发表于 2022-6-10 00:47
可我之前测诺顿的时候，扫描不杀，双击Advml.B

赛门的sonar很多时候都是双击才生效的。有些时候是完全没有必要的，这是出于提高攻击者测试成本考虑。
但有些时候是有必要的。为什么我刚才说“赛门的符号执行是最难使用脑筋急转弯式技巧绕过的”呢？这其实就是主要原因。

显示全部楼层 · 发表于 2022-6-10 08:14:19

kakenhi 发表于 2022-6-10 00:34
https://www.vmray.com/cyber-secu ... -enhanced-analysis/

emmm看了一下原文被删了。。谷歌还有快照 ...

嗯，有听说过这个技术，现在 CTF 竞赛里 angr 的应用已经广为人知了
不过这项技术应该云端用得比较多吧？本地跑太影响性能了

前段时间西交不是还有篇卡符号执行的论文吗？

——————————————————————
还有，抱歉我还是没明白沙盒模拟和运行前模拟的区别

是前者只是简单的模拟而后者带符号执行吗？

显示全部楼层 · 发表于 2022-6-10 12:01:14

n257368 发表于 2022-6-10 08:14
嗯，有听说过这个技术，现在 CTF 竞赛里 angr 的应用已经广为人知了
不过这项技术应该云端用得比较多吧 ...

那他说的沙盒模拟可能是传到云端去虚拟机跑吧。。

显示全部楼层 · 发表于 2022-6-10 12:02:17

n257368 发表于 2022-6-10 08:14
嗯，有听说过这个技术，现在 CTF 竞赛里 angr 的应用已经广为人知了
不过这项技术应该云端用得比较多吧 ...

本地很多杀软都有的，可能分析得没有云端那么透彻。
赛门那个确实是很影响性能。。其他还好

[分享] 各家安软对于样本的检测方式【转载】