不得不公佈！現在還有大廠在使用檔案大小判毒！

發表時間: 2008-9-07 14:17 作者: ㄚ一來源: AVPClub Security Home

又有兩家廠商偷機被我抓包了！這兩家大廠居然用檔案大小的方式判斷病毒！
防毒軟體依據技術能力的不能，有技術有資金的廠商，會試著把解殼引擎、啟發引擎等加強
但是這兩個部分的加強不是說加強就可以馬上加強，如果程式設計師沒有具有一定的程度
是沒有辦法設計出一個有效的解決方案！

所以有些時候會出現一些沒什麼技術成分，卻又不恰當的偵測方式
例如檔案名稱以及雜湊值判斷！檔案名稱故名思意就是根據檔案名稱判斷
像一直以來都很猖獗的機器狗病毒，假設機器狗所有變種都會產生一個abc.sys的檔案．．

並且做為它的中心驅動，那有些廠商如果無法從技術上做抵禦的方法
可能就會開始走一些偏門，例如只要在windows\system32下產生的abc.sys一律報毒的這種做法！

或者是用雜測值偵測的方式，雜測值是一種資訊摘要演算法，兩個不同的檔案
是不可能得到相同的雜湊值，不過MD5已被破解，但這個不在這次的討論範圍內！
所謂的雜湊直就是利用SHA-1或者是MD5檢測檔案是否符合
只要一符合或又同時達成其它必要條件（例如檔案位置所在）既會報毒！

上述兩種方法一直都存在，像我在去年曾經踢報過金山毒霸利用檔案名報毒

當時就覺得太誇張了，但是到了今天更讓我驚訝的是現在居然有廠商用檔案大小來報毒！而且兩家都不是沒有技術跟資金的小廠商．．

這兩家廠商分別是在最新一次AV-TEST獲得非常優異成績的BitDefender以及AVIRA兩家知名大廠

他們私底下就我所知應該無任何技術交流，但是他們卻都用了同一種方式報毒
這種方式也不像樣本交換所導致出來的問題，因為它是經過引擎判斷結構
還有檔案大小後才做出來的判斷！

首先是BitDefender它報Trojan.Generic.74723
在以前有些人曾經猜測過，有些AV的定義名尾段這些奇怪的數字是什麼？
有些人覺得是某段的特徵長度，或者是由機器判斷的編號，也有人說是基因編號，也有人說是隨機產生不代表任何意義！

以上猜測我個人不予以否認，但是今天發生的事情讓我相信檔案大小偵測還確有其事！

不過只看BitDefender看不出個所以然來！AVIRA報的就清楚多了！
AVIRA把這個樣本報做TR/Agent.271995

請注意最後那段奇怪的數字271995，它居然跟樣本的檔案大小一致！

我把樣本解壓縮後再用BitDefender還有AVIRA再掃瞄一遍，居然沒有報了！
然後我又直接對樣本壓縮檔刪去或是增加檔案，讓檔案大小改變
最後確定檔案大小只要不是271995byte，它們就都不報了．．
也由於BitDefender的關係，導致GDATA也有這個問題

直接使得AVK 2009的高偵測率受到了多少質疑，因為我自己已經開始思考．．
這兩家AV究竟靠這類的方式，不一定是檔案大小這樣的方式！
而是類似這種靠檔案大小判斷的投機方式
到底額外獲得了多少偵測率？這真是一個有趣的問題！

高偵測率的背後究竟還有多少不為人知的問題？
就一般人而言，他們只重視偵測率，認為偵測率高就是最好
但是評判一個AV好或壞，偵測率絕對不是唯一或是最重要指標
但是又有多少人能夠看輕這一點呢？

以上文章轉貼自Lawliet's blog
http://antimalicious.blogspot.com/

[ 本帖最後由ㄚ一於 2008-9-7 14:20 編輯 ]

我也來說兩句 查看全部評論相關評論

SPeter (2008-9-07 14:50:21)

這是懶得取病毒特徵碼嗎！？

如果不搭配其他偷雞方式（檔名、位置），那全部相同大小的檔案不就全被報下去了？
megakotaro (2008-9-07 15:01:33)

如果真的是這樣，各位來看看avira的病毒碼：
http://www.avira.com/en/threats/section/vdfhistory/index.html
隨便點一個，都能發現有數字的病毒碼
拿7.00.06.124來做例子，可以很清楚發現：
‧ TR/Drop.KGen.1018400
‧ TR/Drop.KGen.255008
‧ TR/Drop.KGen.274464
‧ TR/Drop.KGen.279072.1
‧ TR/Drop.KGen.343584
‧ TR/Drop.KGen.346741
‧ TR/Drop.KGen.349344
‧ TR/Drop.KGen.349728
‧ TR/Drop.KGen.359456
‧ TR/Drop.KGen.463904
‧ TR/Drop.KGen.471139
‧ TR/Drop.KGen.475680
‧ TR/Drop.KGen.477728
‧ TR/Drop.KGen.543776
‧ TR/Drop.KGen.547872
‧ TR/Drop.KGen.556064
‧ TR/Drop.KGen.562208
‧ TR/Drop.KGen.562208.1
‧ TR/Drop.KGen.563429
‧ TR/Drop.KGen.565792
‧ TR/Drop.KGen.566816
‧ TR/Drop.KGen.566816.1
‧ TR/Drop.KGen.567328
‧ TR/Drop.KGen.570400
‧ TR/Drop.KGen.572960
‧ TR/Drop.KGen.573984
‧ TR/Drop.KGen.581152.1
‧ TR/Drop.KGen.582799
‧ TR/Drop.KGen.584224
‧ TR/Drop.KGen.584224.1
‧ TR/Drop.KGen.585248.1
‧ TR/Drop.KGen.585815
‧ TR/Drop.KGen.586272
‧ TR/Drop.KGen.586784
‧ TR/Drop.KGen.589785
‧ TR/Drop.KGen.592993
‧ TR/Drop.KGen.594813
‧ TR/Drop.KGen.594976
‧ TR/Drop.KGen.603680
‧ TR/Drop.KGen.609312.1
‧ TR/Drop.KGen.613408
這一排都是數字病毒碼

不過我很好奇，如果你先解壓縮，再壓回原本的檔案大小(不做刪去或是增加檔案)，它會報嗎，或是用不同的壓縮軟體，是否還會報(包括偽裝易容用的，EX：ASpack等等軟體)
ㄚ一 (2008-9-07 15:09:29)

QUOTE:
原帖由 SPeter 於 2008-9-7 14:50 發表
這是懶得取病毒特徵碼嗎！？

如果不搭配其他偷雞方式（檔名、位置），那全部相同大小的檔案不就全被報下去了？
會判斷特徵！
不過有一點我忘記說名，這個被報的樣本是一個誤報！
ㄚ一 (2008-9-07 15:13:01)

我壓不回原本的大小
除非知道對方當初用的winrar版本以及使用的壓縮等級如何
要不然很難透過逆向的方式了解是不是本身有人在自解壓縮這個部分被人加料
不過我唯一可以確定的是AVIRA跟BD都是用特徵跟檔案大小的方式報毒
這說明兩家AV在對付這一類樣本的時候特徵值應該都是隨便取的．．
000110 (2008-9-07 15:22:20)

丫一大大可以把誤報的樣本傳上來嗎
對這個很感興趣
ㄚ一 (2008-9-07 15:29:30)

我可以私下傳給你，因為這個樣本對我來說還有點用
我不希望它被修正，所以也請你別丟VT之類的東西
000110 (2008-9-07 15:35:10)

當然可以
天氣預報 (2008-9-07 15:47:30)

寫信給AV-TEST和AV-C
請它們針對這點測試呢?
000110 (2008-9-07 16:33:48)

剛剛進行了個測試, 可以當是這篇補充

測試的檔案
1. 丫一大大測試的樣本
2. 修改過的丫一大大測試的樣本
3. 自製檔案 (檔案大小為 271995)

分別用GDATA 09及avira掃瞄,
結果gdata會報1,2為Trojan.Generic.74723
而avira的結果則是僅報1為TR/Agent.271995, 其餘兩個都不報

結論:
1. 部份avira報的病毒會依據檔案大小作判斷的條件之一
2. bd可能是因為取特徵位置不好引致誤判, 尾綴的數字亦可能是某段的特徵長度，或者是由機器判斷的編號，或是基因編號，又或是是隨機產生不代表任何意義
acer1832a (2008-9-07 16:34:08)

竟然會有大廠用這種方式判斷呀~~~~
不曉得若是同樣檔案大小的文字檔會不會也一樣被判為病毒~
如果這樣的話，那真的是混太兇了~

記得以前有一種修改檔案大小的方式
(用HEX去修改檔案大小，原本1KB的檔案也可以變2GB)
不知道這類的檔案是不是也會被誤判~
不過我忘了怎麼改，剛剛上Google找一下也找不太到
lnicholas.hsiao (2008-9-07 17:09:46)

Well.. 幫他們辯解一下，檔案長度也是特徵之一。。。呵呵

純屬玩笑！
integear (2008-9-07 17:50:18)

QUOTE:
原帖由 000110 於 2008-9-7 16:33 發表
剛剛進行了個測試, 可以當是這篇補充

測試的檔案
1. 丫一大大測試的樣本
2. 修改過的丫一大大測試的樣本
3. 自製檔案 (檔案大小為 271995)

分別用GDATA 09及avira掃瞄,
結果gdata會報1,2為Trojan.Generic ...
待我向BD問個明白 .
Bug (2008-9-07 17:54:34)

剛剛亂找的...

微風論壇討論串
-------------------------------------------------------------------------------------------------------------------------
看起來是 " 檔案 wrar37b7tc.exe 接收於 2007.11.22 08:05:22 (CET) "

AntiVir       7.6.0.34       2007.11.21       -
BitDefender       7.2       2007.11.22       Trojan.Generic.74723
Kaspersky       7.0.0.125       2007.11.21       Trojan-Downloader.Win32.Agent.efy

附加訊息
File size: 1376310 bytes
MD5: b228483377bf95ff91fdd1875de89d2a
SHA1: bcfe85190a578f332a6e580b4a4a05cfa84cd394
packers: UPX
packers: UPX, RAR
packers: UPX, PE_Patch
-------------------------------------------------------------------------------------------------------------------------
也許就像000110大大說的

是因為BD 取樣的原因...不然這個檔案大小又不同(1376310 > 271995)
BD 卻報一樣的名稱...也證明這個數字並非依據大小而定也非隨機取樣...應該是有特殊意義

所以對於BD而言應該只是單純的誤報...而非依據檔案大小判斷...(吧)

[ 本帖最後由 Bug 於 2008-9-7 18:00 編輯 ]
ㄚ一 (2008-9-07 18:03:42)

問題是你這樣其實是無法邏輯判斷出BD不是根據檔案大小報毒
如果我把這個被誤報271995Byte的樣本跟別的東西再打包一次
檔案大小改變了，但是AVIRA跟BD同樣會報，而AVIRA同樣會報TR/Agent.271995
從你找的這個訊息裡，我們可以知道被加殼了，到底被報的這個樣本裡被包了些什麼
解殼後找到那個被報的東西，並檢查它的大小才是正確的方向
integear (2008-9-07 18:07:51)

BD要在下提供掃描報告,ㄚ一的掃描報告能借一下嗎 ?
andy (2008-9-07 18:18:16)

丫一也可以給我那樣本嗎?
Bug (2008-9-07 18:22:04)

Trojan.Generic.74723

General Description:

A Trojan horse, or Trojan, is any malicious program that installs itself secretly while disguised as or hidden within legitimate software. Once infected, the author of the Trojan can control the computer, steal sensitive information, and/or damage the system. Trojans are frequently distributed through unsolicited email attachments, and are also embedded within freeware and shareware programs.

Copyright © 1997 – 2006 IBM Internet Security Systems, Inc. All rights reserved.
Portions copywrighted by © 1997 – 2006 BitDefender SOFTWIN SRL

大家就努力找答案吧

打破砂鍋問到底!!!!

.

[ 本帖最後由 Bug 於 2008-9-7 18:25 編輯 ]
小韋 (2008-9-07 18:26:49)

看到這一篇文,剛好想起前幾天我才在跟 megakotaro 說趨勢回覆我的一封信的內容:以下內容是我那天跟 megakotaro 說的:
最近病毒多,我手上之前還有將近40幾個未回覆我結果的樣本,之前傳到美國趨勢病毒實驗室,它們只回我你的樣本正在處理中..後來我火大,直接打電話去罵我已前在趨勢的朋友,雖然她很無辜被我罵了一頓..可是你看這兩天我一口氣接到近30個回覆樣本的信件,而且還是美國趨勢病毒實驗室寄給我的,因為這兩天趨勢更新的很頻繁,一天都有3~5次的更新,而且都是在4千多k到7千多k之間的大小..後來美國那邊的趨勢寄了一封專函給我,內容大約就是說很抱歉,造成我的困擾,它們的信中主要就是說,因為每天收到的樣本相當多,並非不處理我的樣本,而是每一封樣本趨勢一收到都是採取人工方法分析,它說它們不像大部份防毒軟體廠商都是採用特徵碼就一路報到底,趨勢說這樣的誤判率很高,系統也很容易當機,它還提到,就算分析出來是病毒,它們也會收集來自全球趨勢科技的病毒資訊,原則上不會有立即性爆發的威脅,趨勢都會先不發佈病毒碼,它信中也提到趨勢目前有一些免費的軟體也都能檔住這些惡意連結或病毒,像TrendProtect 還有WTP-Add這些都是目前趨勢最新研發的雲端技術產品...

[ 本帖最後由小韋於 2008-9-7 18:29 編輯 ]
ㄚ一 (2008-9-07 18:41:08)

QUOTE:
原帖由 integear 於 2008-9-7 18:07 發表
BD要在下提供掃描報告,ㄚ一的掃描報告能借一下嗎 ?
好了！

1220783997.rar
(2008-09-07 18:41:08, Size: 741 B , Downloads: 14)
integear (2008-9-07 18:54:04)

QUOTE:
原帖由ㄚ一於 2008-9-7 18:41 發表

好了！
回覆給BD了.基本上在下認為應該是啟發式,不過詳細情形還是要問BD .