专栏/如何快速复现7-Zip-zstd的"自释放程序"误报

如何快速复现7-Zip-zstd的"自释放程序"误报

2024年09月13日 10:34--浏览 · --点赞 · --评论
粉丝:2253文章:1

太长不看版:冷门杀软误报7zip ZSTD自释放程序

首先下载视频中涉及相关UP的所发的黑神话CT的exe(其实是7zip自解压程序)

上传至VirusTotal: https://www.virustotal.com/gui/file/b689574949349f8b171c5ecb25e00df900a133101c2d7a56e505ebcbc154270c/details

发现目标样本使用的是7zip ZSTD压缩

read-normal-img

到Github下载同款压缩工具: https://github.com/mcmilk/7-Zip-zstd/releases/tag/v22.01-v1.5.5-R3

read-normal-img

这里我使用Windows系统自带的explorer.exe作为压缩包的内容,可以看到文件的数字签名完整

read-normal-img

按照下图配置进行压缩,并勾选“自释放程序”

read-normal-img

上传Virustotal,发现可以稳定复现Panda杀毒误报(我这么一压顺便还多爆了个)

VT链接: https://www.virustotal.com/gui/file/e6d07a678b3f8b89eec5285a65dbe6e2d45d2963605ba457023f5a32327aa108

read-normal-img

注:由于VirusTotal原因,评论的VT链接内的默认显示的程序名可能对不上我压缩出来的名称

真实名称请到Details->Names里查看


投诉或建议