以檔案大小作為判毒的依據證據(兩家科技大廠)

又有兩家廠商偷機被我抓包了!這兩家大廠居然用檔案大小的方式判斷病毒!

防毒軟體依據技術能力的不能,有技術有資金的廠商,會試著把解殼引擎、啟發引擎等加強

但是這兩個部分的加強不是說加強就可以馬上加強,如果程式設計師沒有具有一定的程度

是沒有辦法設計出一個有效的解決方案!

所以有些時候會出現一些沒什麼技術成分,卻又不恰當的偵測方式

例如檔案名稱以及雜湊值判斷!檔案名稱故名思意就是根據檔案名稱判斷

像一直以來都很猖獗的機器狗病毒,假設機器狗所有變種都會產生一個abc.sys的檔案..

並且做為它的中心驅動,那有些廠商如果無法從技術上做抵禦的方法

可能就會開始走一些偏門,例如只要在windows\system32下產生的abc.sys一律報毒的這種做法!

或者是用雜測值偵測的方式,雜測值是一種資訊摘要演算法,兩個不同的檔案

是不可能得到相同的雜湊值,不過MD5已被破解,但這個不在這次的討論範圍內!

所謂的雜湊直就是利用SHA-1或者是MD5檢測檔案是否符合

只要一符合或又同時達成其它必要條件(例如檔案位置所在)既會報毒!

上述兩種方法一直都存在,像我在去年曾經踢報過金山毒霸利用檔案名報毒

當時就覺得太誇張了,但是到了今天更讓我驚訝的是現在居然有廠商用檔案大小來報毒!而且兩家都不是沒有技術跟資金的小廠商..

這兩家廠商分別是在最新一次AV-TEST獲得非常優異成績的BitDefender以及AVIRA兩家知名大廠

他們私底下就我所知應該無任何技術交流,但是他們卻都用了同一種方式報毒

這種方式也不像樣本交換所導致出來的問題,因為它是經過引擎判斷結構

還有檔案大小後才做出來的判斷!

首先是BitDefender它報Trojan.Generic.74723

在以前有些人曾經猜測過,有些AV的定義名尾段這些奇怪的數字是什麼?

有些人覺得是某段的特徵長度,或者是由機器判斷的編號,也有人說是基因編號,也有人說是隨機產生不代表任何意義!

以上猜測我個人不予以否認,但是今天發生的事情讓我相信檔案大小偵測還確有其事!

不過只看BitDefender看不出個所以然來!AVIRA報的就清楚多了!

AVIRA把這個樣本報做TR/Agent.271995

請注意最後那段奇怪的數字271995,它居然跟樣本的檔案大小一致!

我把樣本解壓縮後再用BitDefender還有AVIRA再掃瞄一遍,居然沒有報了!

然後我又直接對樣本壓縮檔刪去或是增加檔案,讓檔案大小改變

最後確定檔案大小只要不是271995byte,它們就都不報了..

也由於BitDefender的關係,導致GDATA也有這個問題

直接使得AVK 2009的高偵測率受到了多少質疑,因為我自己已經開始思考..

這兩家AV究竟靠這類的方式,不一定是檔案大小這樣的方式!

而是類似這種靠檔案大小判斷的投機方式

到底額外獲得了多少偵測率?這真是一個有趣的問題!

高偵測率的背後究竟還有多少不為人知的問題?

就一般人而言,他們只重視偵測率,認為偵測率高就是最好

但是評判一個AV好或壞,偵測率絕對不是唯一或是最重要指標

但是又有多少人能夠看輕這一點呢?