360的云对于本地的校对是根据MD5么？

显示全部楼层 · 发表于 2010-6-23 11:06:27

本帖最后由蓝天白云520 于 2010.6.23 11:20 编辑

昨天闲得DT，自己电脑太垃圾，所以到同学机上琢磨了一下360报了QVM的那几个卡饭样本，样本是6-21包里面的

19号样本是被360查出了QVM20的样本：

然后用winhex改动了文件末尾一个字节：

结果拿360杀毒再扫，发现...........

囧，扫不出了！这样的话，要做360的免杀那根本不用动脑子，直接改一个字节，改变MD5就行了

样本在这：、

刚刚再次测试了一下，发现360杀毒杀了，但是，不是QVM检出的.......

明明根本就是同一个样本，只是改了MD5而已.......

360杀毒先是不认识了，然后又重新扫了一遍云鉴定

显示全部楼层 · 发表于 2010-6-23 11:08:30

旁观dolo辩论

显示全部楼层 · 发表于 2010-6-23 11:11:25

真相帝又出现了,等待官方人员继续冷嘲热讽吧

显示全部楼层 · 发表于 2010-6-23 11:14:05

根据hash很正常
上传后需要一定的响应时间改几个字节上传后再次扫描QVM就可能会报了
前几天测试QVM 对卡饭某些360已入库样本改了点东西然后上传
有几个样本第二个扫描就显示QVM的结果有几个等四、五次扫描后才报
不管怎么说最后都报了虽然有几个改变不大的报的病毒名跟之前的不一样

显示全部楼层 · 发表于 2010-6-23 11:17:11

根据hash很正常
上传后需要一定的响应时间改几个字节上传后再次扫描QVM就可能会报了
前几天测试QVM 对卡 ...
dl123100 发表于 2010.6.23 11:14

这样的话虽然还行，但是会给云带来很大的工作量的........这样的免杀至少比改微特征做免杀还要容易啊

显示全部楼层 · 发表于 2010-6-23 11:27:45

回复 5楼 蓝天白云520 的帖子

没有相关本地特征的话也只能这样吧

显示全部楼层 · 发表于 2010-6-23 11:29:20

回复

没有相关本地特征的话也只能这样吧
dl123100 发表于 2010.6.23 11:27

也是，不过可以改进一下效验方法，MD5实在是.......这类云查询和效验方式确实很有弊端。辅助云软件可以用这个，杀毒还用这个就不妥当了。当初我也说了，为何金山云要先进一代，是因为已经不用hash效验了

显示全部楼层 · 发表于 2010-6-23 11:29:44

这个根据MD5是正常的吧
不过应该不止是根据MD5判断，应该还有别的技术。
看官人怎么说

显示全部楼层 · 发表于 2010-6-23 11:29:56

做到本地想不被免杀都很难,有哪个杀软不是这样的,除了高启发...[:26:]

显示全部楼层 · 发表于 2010-6-23 11:38:40

做到本地想不被免杀都很难,有哪个杀软不是这样的,除了高启发...
jm3800072 发表于 2010.6.23 11:29

所谓的高启发，其实也是针对特征段的

[讨论] 360的云对于本地的校对是根据MD5么？

本帖子中包含更多资源