可能的BUG，微软证书（不管是否有效）概率性导致检测绕过

显示全部楼层 · 发表于 2026-2-1 18:14:45

之前测试样本的时候发现的，某几个样本打了假的无效的微软证书。微软第一时间没有检测到，上报后入了库并在其他机器上得到了确认（有本地检测）。但是在原来的机器上更新病毒库后（和检测到的机器病毒库版本相同）即使双击样本也被放行了。在此机器上的检测是几天后才正常的，怀疑微软的引擎信任机制和缓存处理有问题。

此前这个问题主要存在于有效的WHQL证书样本上，有概率不检测。

其余样本均可在更新病毒库后立即检测到，此问题仅存在于有微软证书的样本上。

显示全部楼层 · 发表于 2026-2-1 21:48:19

本帖最后由驭龙于 2026-2-1 21:49 编辑

猜测一下，罪魁祸首很可能就是C:\ProgramData\Microsoft\Windows Defender\Scans文件夹下的三个mpenginedb.db文件，以及动态签名的C:\ProgramData\Microsoft\Windows Defender\Scans\RtSigs\Data\缓存文件导致

显示全部楼层 · 发表于 2026-2-17 21:57:07

WHQL 本身就是微软授权的东西，不检测很正常

显示全部楼层 · 发表于 2026-3-1 10:08:44

驭龙发表于 2026-2-1 21:48
猜测一下，罪魁祸首很可能就是C:\ProgramData\Microsoft\Windows Defender\Scans文件夹下的三个mpenginedb. ...

大概率就是这样，昨天某个非微软签名的样本复现了上述情况，而后用MpCmdRun.exe -removedefinitions -dynamicsignatures清了一下缓存和动态签名后就可以检测了

[其他事项] 可能的BUG，微软证书（不管是否有效）概率性导致检测绕过