红伞的误报问题之我见

显示全部楼层 · 发表于 2008-4-23 09:48:57

红伞的误报问题由来以久

虽然官方在不断解决误报问题.红伞的表现也确实比以前好了许多

但是,比起一些常用杀软来说,误报率还是要高出一些的

长期的免杀经验让我找出了其中误报的一种原因

============================================================

我就拿360安全卫士文件夹中的360hotfix.exe（漏洞修补工具）来做演示,如下图

红伞当然不杀了.图我就不截了

来用PEID查一下这个程序，如下图：

采用VC++6.0编写,无壳

OllyDBG载入查看：

标准的VC++文件头

现在我给程序加一个简单的JMP跳转，使PE结构发生变化(我就不加花了,以免说是加了个被杀的花）

程序在加跳转后..依然正常运行.但红伞就不高兴了

红伞报了未知恶意软件

或许你会问,这又能证明什么

证明红伞对非正常的PE结构极度敏感

其实,很多个人编写的软件,或者一些小公司出品的软件

为了防止破解等相关因素.总要在软件或者是壳上进行修改(正规壳在没有修改时,红伞是不会报的)

红伞一遇到非正规PE结构.就会容易产生误报情况

红伞的这种特性,确实提高了查杀率..增大了免杀的难度

但也同时提高了误报率..的确是了两难的问题

2008年4月23日
cici584522 （转帖请注名）

显示全部楼层 · 发表于 2008-4-23 10:02:02

顺便说一句

如果根据免杀难度来判断

卡巴的启发引擎跟红伞还不是一个级别

当然..卡巴的启发比刚出来时有进步

但要跟伞的启发比..那压根就不是一个档次

如果把各自的免杀细节说出来大家恐怕听不懂

就举个最简单的现状来说下

在做免杀时..卡巴属于连带穿越的杀软（扫描部分，不是主动防御)，什么叫连带？就是说不需要特别针对修改，

给木马加壳后在壳上进行常规修改(改壳)

而红伞..除了专门针对的壳(没被上报过的内部壳),我还真的很少见到可以连带穿越的。

想免。只有单独对待定位修改。而难度。。。呵呵。。当然也不是一般的

[ 本帖最后由 cici584522 于 2008-4-23 10:03 编辑 ]

显示全部楼层 · 发表于 2008-4-23 10:03:00

感谢分享 :-)
关键还是在查杀率和误报率之间找到一个平衡点…

显示全部楼层 · 发表于 2008-4-23 10:03:44

除些之外，主要是报壳和HTML启发的误报太多，还有特征码原则问题……绿卡7和一键ghost还有空间工具上报就是死罪，这个也很郁闷，还有一些系统工具也是如此............明知是误报，但移除无望..................

..........再有一些就是移除一段时间，过一段时间更新引擎又来了..............

如果红伞在误报解决得更好一些，本地化再强一些的话，会做得更加好。

[ 本帖最后由曲中求于 2008-4-23 10:04 编辑 ]

显示全部楼层 · 发表于 2008-4-23 10:10:21

我认为红伞报壳

只会报黑客壳或者是正规壳但经过了修改

我给360那个程序分别加了ASProtect SKE 2.3 UPX 3.02 还有北斗

这3种分别加上后。。3个结果都是一致的

不报...说明一个原因,,正常原始结构的PE文件

红伞是不会误报的

但很多作者加过壳后.为了防脱.修改了壳。。

使红伞敏感了起来。。产生了误报

显示全部楼层 · 发表于 2008-4-23 10:21:34

这种情况，在国内的工具很多，包括系统制作工具，上次打包了一包上报了.............结构特征的处理就是这样............

红伞引擎慢慢更新后的产物，以前不是这样的，呵呵，你就用一个文本加一个UPX也报得叫...........进步了..........

[ 本帖最后由曲中求于 2008-4-23 10:22 编辑 ]

显示全部楼层 · 发表于 2008-4-23 10:23:58

关键是现在搞正规软件的很多人都喜欢改壳...

而这个问题感觉不是那么好解决的...

按常理来说要解决的话。同时查杀率必定下降

取舍困难呀。哈哈

显示全部楼层 · 发表于 2008-4-23 10:31:40

默认设置误报还行，不是很多

显示全部楼层 · 发表于 2008-4-23 10:32:58

学习了～～～

显示全部楼层 · 发表于 2008-4-23 12:43:35

很好的技术分析文章支持下

[技术原创] 红伞的误报问题之我见

本帖子中包含更多资源

回复 5楼 cici584522 的帖子