某视频弹幕二进制 seg.so，HEUR:Trojan.BAT.KillProc.gen 疑似卡巴对歌词关键字误报

3306-1

来源：https://tieba.baidu.com/p/9375830590
　　　https://www.52pojie.cn/thread-2117326-1-1.html
作者：Nevvb1e251111、 ViVi41💤

文件指纹（第一分段，哈希因弹幕实时情况动态变化）
seg.so
大小: 19413 字节 : 18 KiB
CRC32: B18846B1
CRC64: FCFF82122CCAFFDB
XXH64: B0A2CC443153F0C7
SHA256: c27a729ed936dd69620c07287e84dcd53f007b09375241540b28632235598f6c

作者提供（２４～至今）

1. 事件: 下载被拒绝
   
2. 用户:
   
3. 用户类型: 发起者
   
4. 
   
5. 应用程序名称: chrome.exe
   
6. 应用程序路径: C:\Program Files\Google\Chrome\Application
   
7. 
   
8. 组件: 安全浏览
   
9. 结果描述: 已阻止
   
10. 
    
11. 类型: 木马
    
12. 名称: HEUR:Trojan.BAT.KillProc.gen
    
13. 
    
14. 精确度: 启发式分析
    
15. 威胁级别: 高
    
16. 
    
17. 对象类型: 文件
    
18. 对象名称: seg.so?type=1&oid=14940328&pid=9044992&segment_index=1&pull_mode=1&ps=0&pe=120000&web_location=1315873&w_rid=21abbb147f30afdf51d3098114660d1e&wts=1784091768
    
19. 对象路径: https://api.bilibili.com/x/v2/dm/wbi/web
    
20. 对象的 MD5: 31C8DA1CD9C0E131DCD96C5BD54A9B04
    
21. 
    
22. 原因: 专家分析
    
23. 数据库发布日期: 今天，2026/7/15 12:07:00

复制代码

1. ps=0&pe=120000：代表拉取0～120000 毫秒区间的所有弹幕
   
2. 返回头 Content-Type: application/octet-stream，是二进制弹幕包
   
3. 弹幕出现时间、文字内容、字号、颜色、弹幕位置（顶部 / 底部 / 滚动）
   
4. 发送者 UID、弹幕 ID、弹幕类型、是否会员弹幕、是否保护弹幕等
   
5. segment_index=1：当前是第 1 个弹幕分片，长视频会分多段加载；
   
6. pull_mode=1：网页常规拉取模式；
   
7. w_rid + wts：B 站 WBI 签名与时戳，用来校验本次请求合法性，防止非法爬虫；
   
8. web_location：前端页面来源标记，用于 B 站后台统计播放来源。

复制代码

火绒扫描（我自己的本地扫描结果）
6.0.11.1 版本
07-14 19:17 病毒库

2026/07/15 19:43:56
病毒防护
病毒查杀
自定义扫描(手动执行)，发现0个风险项目

病毒库时间：2026-07-14 19:17
开始时间：2026-07-15 19:43
执行类型：手动执行
扫描类型：自定义扫描
总计用时：00:00:01
扫描对象：1
扫描文件：1
发现风险：0
已处理风险：0

文件类型：application/octet-stream
在线试听：https://www.bilibili.com/video/BV1ds411e7df（官号）
　　　　　https://www.bilibili.com/video/BV1Aa411n75f（官号）
　　　　　https://music.163.com/#/song?id=435278010（会员）
　　　　　https://music.163.com/#/song?id=1948528659（非会员）
歌词片段：这些无意义的碎片（即两分钟之前）
民间回应：https://t.bilibili.com/16133039626749676#reply250681657889

1. 梦末_0822
   
2. 2025-01-01 15:51
   
3. 已确认是弹幕文件中歌词关键词导致

复制代码

jotti
https://virusscan.jotti.org/zh-CN/filescanjob/ofqygxik0a

奇安信
https://sandbox.ti.qianxin.com/sandbox/page/detail?type=file&id=AZ9lrxuJVo2htHHsiFcX

virscan
https://www.virscan.org/report/c27a729ed936dd69620c07287e84dcd53f007b09375241540b28632235598f6c

virustotal（作者提供）
https://www.virustotal.com/gui/file/6f5cc6b91bc2eb018469d71d81fdf46e8c170714eacd45ae3034f676c145233c

微步
https://s.threatbook.com/report/file/c27a729ed936dd69620c07287e84dcd53f007b09375241540b28632235598f6c

天穹
https://sandbox.qianxin.com/tq/report/toNewReport.do?rid=94e07df3e95d6c8b72619c0285e65ba4&sk=46885994

卡巴（源静态不报，访问时启发报；纯歌名不报；两分钟前中英歌词不报；两分钟前纯英文歌词不报；完整纯英文歌词不报；请卡巴用户尝试将网址以误报进行反馈看看）
https://opentip.kaspersky.com/C27A729ED936DD69620C07287E84DCD53F007B09375241540B28632235598F6C/?tab=upload
https://opentip.kaspersky.com/D29B2CFFA214ADF687D6202D714871727CF84312BE178CF9BF9E6B858F84A57F/results?tab=upload
https://opentip.kaspersky.com/D2A3FCDEEE4AE24016ED3C45409B0AED6BBCB66614E9DB9B941D25650AE13FF5/results?tab=upload
https://opentip.kaspersky.com/14E64A08F7EAB3E911BBA2E4068E1B673655A4016AF88BD6C9DCAAEF3F46E79C/results?tab=upload
https://opentip.kaspersky.com/48E4D75D08DD2751DBBE95F0416F3A5C52E1670AD63AA15889FB830591345ECE/results?tab=upload

样本（需要自行手动抓包）
提取码：无，解压码：无

1. 访问
   
2. https://www.bilibili.com/video/BV1sx411C75U
   
3. 
   
4. 抓取
   
5. https://api.bilibili.com/x/v2/dm/wbi/web/seg.so?type=1&oid=14940328&pid=9044992 ....
   
6. 
   
7. 或尝试
   
8. https://api.bilibili.com/x/v2/dm/wbi/web/seg.so?type=1&oid=14940328&pid=9044992&segment_index=1&pull_mode=1&ps=0&pe=120000&web_location=1315873&w_rid=*&wts=*

复制代码

ISAZre

已提交误报并收到回复：
Hello,

Sorry, it was a false detection. It will be fixed.
Thank you for your help.

Best regards, Denis Sitchikhin, Malware Analyst