贝壳木马专杀采用何种识别方式

显示全部楼层 · 发表于 2009-7-28 22:29:39

我无法再国内区发帖，所以只好到国外区发帖，请斑竹帮忙移回去
验证贝壳木马专杀是采取何种杀毒方式
本人看到坛子里有人发帖说贝壳木马专杀是采用MD5的方式，故在此亲自测试
样本采用样本区随机下载的文件“qvod.rar”

先用新版本的贝壳木马专杀，查一下电脑。

应该不带毒，并且关闭了NOD32

将病毒放入系统文件夹下面

然后查毒，发现病毒

下面将要用到一个很厉害的工具，fastcoll_v1.0.0.5.exe，这个能将某个程序，从新生成两个相同MD5但Hash不同的文件。

生成完毕
下面将新生成的两个文件qvod1.exe和qvod2.exe还有原有的qvod.exe放入系统文件夹下
下面重新杀毒

不出所料，只能检测出qvod.exe
下面是这三个文件的MD5信息和Hash信息

过一会后，在重新杀毒，发现现在新的两个文件也可以杀了

基于上面的判断，可以猜测如下结论，贝壳可能使用Hash来判断病毒文件，而不是MD5,应为两个MD5相同的病毒未被识别为同一病毒，可以看最后一张截图上病毒名字的命名。欢迎讨论。

显示全部楼层 · 发表于 2009-7-28 22:49:39

支持这样的测试帖，最经水贴和月经贴太多了

显示全部楼层 · 发表于 2009-7-28 22:56:04

另外，我不清楚为何我不能在国内杀毒软件讨论区发帖？

[技术原创] 贝壳木马专杀采用何种识别方式

本帖子中包含更多资源