作者kissahping (七)
看板AntiVirus
标题[讨论] 红伞(Avira Antivir)取病毒特徵码功力不够理想
时间Tue Nov 3 18:17:33 2009
最近发现两个类似的病毒，上报多家厂商後，
一时兴起来测试各家厂商取特徵码的功力。
点选可以连结到目前最新(11/3)的VirusTotal扫描结果。
1.
Lily_Allen_-_Fuck_You.mp3 （未解毒前）
http://tinyurl.com/yenmem4
Lily_Allen_-_Not_Fair.mp3 （未解毒前）
http://tinyurl.com/y8frd7t
2.
Lily_Allen_-_Fuck_You.mp3 （解毒後 by Dr. Web）
http://tinyurl.com/yccy7q9
Lily_Allen_-_Not_Fair.mp3 （解毒後 by Dr. Web）
http://tinyurl.com/y968kz6
3.
Lily_Allen_-_Fuck_You.mp3 （解毒後 by Kaspersky）
http://tinyurl.com/yc563fq
Lily_Allen_-_Not_Fair.mp3 （解毒後 by Kaspersky）
http://tinyurl.com/yaypkdu
（该档案解毒後依然可以播放，但绝不是原曲。）
由结果可以得知，解毒前的档案，FY.mp3档共10家侦测到，NF.mp3档则
有13家。在经过Dr.Web（使用 CureIt! 5.0）和KIS 2010解毒後，两厂
商解毒後扫瞄结果一样：
大多数报毒厂商都能正确判别档案已无害，但FY.mp3档依然被红伞报毒
，NF.mp3档则被红伞和McAfee-GW-Edition（侦测同样来自红伞+自主启
发）持续报毒，这两个例子看得出来红伞特徵码取得不是很理想，以致
无害档案持续误报。
的确这样可以达到喜爱红伞推崇者热爱的高侦测率，
但相对地捕风捉影式的侦测码，提高了无害档案误判的机率...
原病毒压缩档下载网址（密码：infected）：
http://tinyurl.com/y95ygjh
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 122.121.3.229
1F：推 SDUM:误报，就直接网页上报呀 11/03 18:22
开头不就说了，上报多家厂商後，就是红伞特徵码取得不够理想
才会连已经解毒的档案都判别不出来…在我上报前，报毒厂商微
乎其微。
另外，我之前已经把「解毒後」的档案上报红伞了，只是不知道
何时能排除，但特徵码没改，往後遇见类似档案还是可能会误判
。
※ 编辑: kissahping 来自: 122.121.3.229 (11/03 18:31)
2F：→ y3k:对於小红伞使用这来说 这点真的满痛的Q_Q 11/03 19:53
3F：→ y3k:但是平均侦侧率在同等级的防毒吃资源都不小而且要钱 11/03 19:54
4F：推 VictorTom:比较惨的是, .mp3都在藏毒, 还有NOD32真的抓不到....Orz 11/03 20:08
5F：推 tedcat:使用f-secure扫描该两档案已有判定出恶意软体..更新好快.. 11/03 21:48
6F：推 huckebein12:AVG好安静啊~ LOL 11/03 22:27
7F：→ w3160828:..用了AVG後 因为太安静又换回小红伞 这算受虐狂吗 11/04 02:45
8F：→ wkwtb:我的小红伞都不叫~ 这才正常啊！ ^_6 11/04 11:09
9F：→ shama:没叫不是很好吗？使用习惯比较重要吧！ 11/05 01:37
10F：→ eruda:新手有问题 副档名.mp3的病毒 直接拖到拨放程式会中毒吗? 11/05 02:24
11F：→ eruda:不太了解.mp3的毒 要怎样才会中 11/05 02:26
12F：推 vintw:其实这就是侦测率和辨别率的trade off，一高就会拉低另一方 11/05 05:59
13F：→ vintw:所以一般学术界要比较都是看ROC curve，单比敏感度是有偏颇 11/05 05:59