VT3 木马样本1X

ジ蓅暒划过づ

zyx9 发表于 2025-5-1 10:37
如果McAfee不是靠机学、启发或者获取到病毒样本本体入库的话，依照你的逻辑，改完MD5对于McAfee不还是未 ...

那首先这个样本咖啡怎么知道的？不就是靠vt情报拉黑后才知道的？不然怎么有后来的启发机学？

zyx9

ジ蓅暒划过づ 发表于 2025-5-1 11:00
那首先这个样本咖啡怎么知道的？不就是靠vt情报拉黑后才知道的？不然怎么有后来的启发机学？

补充，本贴那个测试McAfee扫描的，就是被过了；后来“靠VT”拉黑
本体改完MD5又被过了，可以理解为你说的VT拉黑，但是生成物dll改完实际依然拉黑，这个就不是靠VT拉黑了，你也别说的那么绝对

吃瓜群众第123位

AhnLab kill

驭龙

zyx9 发表于 2025-5-1 11:30
补充，本贴那个测试McAfee扫描的，就是被过了；后来“靠VT”拉黑
本体改完MD5又被过了，可以理解为你说 ...

拉黑不单单是使用MD5的也就是说改哈希也不一定绕过拉黑，现在不是十几年前的月神是改个MD5就完蛋的拉黑

awsl10000次

zyx9 发表于 2025-5-1 11:30
补充，本贴那个测试McAfee扫描的，就是被过了；后来“靠VT”拉黑
本体改完MD5又被过了，可以理解为你说 ...

拉黑不仅指代md5的，厂商可以从vt拿到样本
依靠其他厂商的报毒示警自己对自己未覆盖样本制作特征其实也是一种陷于灰色地带的“参考”
因为归根到底这样的厂家捕获到这种样本并不是基于自己的情报搜集，或者自己设置的规则触发，而是单纯的看到别家覆盖了所以自己也要报毒
咖啡的行为其实是早有定论的事，主要是他们在vt反应速度真的太快了，只要有大量厂家报毒或者几家相对靠谱误报低的厂家报毒，咖啡几乎总是第一个跟进，这个刻板印象真的很难让人不怀疑，总不可能一直这么巧吧
可以参考很久之前b大的测试
https://bbs.kafan.cn/thread-2125195-1-1.html
也可以参考近期这个样本
卡巴误报，紧接着咖啡迅速的跟进拉黑
https://bbs.kafan.cn/thread-2280791-1-1.html
然后卡巴解除误报，咖啡现在还在拉黑ing（已经过去了半个月，另一家vba32报法都是原封不动的卡巴误报报法）
可以说对这种样本咖啡并没有进行自己的样本分析，也没有缓解误报的再分析机制，就是很简单的你的是我的，我的也是我的，哦对，我看到你之前的测试咖啡也有一些样本改md5就过了，这其实也挺能说明问题的
就改md5仍然报毒≠咖啡没去参考别家（参考别家后自己分析做了一个还不错的特征和自己收集以后做了一个不错的特征的可能都有），但改md5漏掉也许可以≈参考了，而且是很简单的参考
对于误报跟进这种事情，诚然也有一种极小概率的可能是咖啡的自动分析系统和卡巴或者其他家犯了相同的错误
但这种案例并不只有一次，我相信如果深挖的话仍然可以复现
这种讨论并不是要去否定咖啡没有自己的情报网络样本搜集或者自己的产品强度，只是陈述一个情况而已，而且关于这种灰色的参考是不是“抄袭”其实也没有定论，只要厂商过了遍自动机或者自己手搓特征，那其实也算有自己的工作在内，并不完全是借鉴别人的。而且哪怕是报法都copy的那种特征，跟进者做的特征比本家特征强的也不鲜见...
如果让我去做我大概率也会选择类似咖啡的做法，只不过可能没那么激进
相对而言卡巴和eset这种厂商确实是清流...
另https://bbs.kafan.cn/thread-2281212-1-1.html

这个帖子里目前的情况就挺有趣，江民那个特征明显是抄某个卡巴对银狐的报法
但江民的特征能覆盖到新版本的样本，卡巴却miss