可能的BUG，微软证书（不管是否有效）概率性导致检测绕过

ANY.LNK

之前测试样本的时候发现的，某几个样本打了假的无效的微软证书。微软第一时间没有检测到，上报后入了库并在其他机器上得到了确认（有本地检测）。但是在原来的机器上更新病毒库后（和检测到的机器病毒库版本相同）即使双击样本也被放行了。在此机器上的检测是几天后才正常的，怀疑微软的引擎信任机制和缓存处理有问题。

此前这个问题主要存在于有效的WHQL证书样本上，有概率不检测。

其余样本均可在更新病毒库后立即检测到，此问题仅存在于有微软证书的样本上。

驭龙

猜测一下，罪魁祸首很可能就是C:\ProgramData\Microsoft\Windows Defender\Scans文件夹下的三个mpenginedb.db文件，以及动态签名的C:\ProgramData\Microsoft\Windows Defender\Scans\RtSigs\Data\缓存文件导致