Комментарии 17
Помимо того, как меняются файлы, я бы посмотрел на то, как программа формирует fileName: как бы там не было формирования странных урлов. Анализ в песочнице в этом случае был бы крайне полезен.
Думается что все же не стоит торопится называть Malwarebytes не самым популярным антивирусом.
И чуть более полная картинка с VirusTotal выглядит так:
А где там в коде отключение ETW?
а разве он самый популярный?
в сравнении с MaxSecure наверняка.
А при чем тут MaxSecure? Почему именно с ним надо сравнивать?
а почему вы решили что Malwarebytes не самый популярный антивирус?
а почему вас до потери сна и аппетита заинтересовала именно эта программа?
а почему вы не прошлись по списку предупреждений на вирустотале и не рознесли его в пух и прах?
а почему вы даже туда не заглянули?
Не очень констуктивно, не правда ли.
Продолжать в таком духе смысла нет.
И бинарник там же, на который VirusTotal даёт 2 детекта.
Из личного опыта — софтина на Go, которую прогнали через UPX для сжатия, успешно давала кучу детектов. Без сжатия — никаких детектов, всё прекрасно. Так что теперь она занимает на 5 мегабайт больше на диске у каждого пользователя, зато без ругани антивируса.
У меня такой же эффект был после применения pyinstaller к совершенно невинному скрипту.
Каждый запуск придётся читать весь файл целиком и тратить время на расжатие, когда несжатые файлы просто мапятся в память, и странички с кодом и данными подчитываются в момент первого доступа к ним. То есть файл в 70 мегабайт может при запуске считаться на 100КБ, если остальной код не получил управление.
Сомнительно. Как минимум будет проверяться подпись файла, а для этого потребуется полностью его прочесть.
Но обычно на программах, которые хотят паковать UPX-ом, нет подписи.
Я взял explorer.exe (размер 5.1МБ) из Windows 10, и вытащил PKCS#7 Signed Message, это примерно 54КБ. Из них 2 сертификата по 1.2КБ и Payload на 45КБ. Подпись заверяет целостность Payload, и его можно проверить, не читая весь файл. Внутри Payload хеши страниц, так что теоретически загрузчик может проверять хеши только тех страниц, которые он подкачивает в память (но не знаю, пользуется ли он на практике такой возможностью. Я думаю, что при запуске програм в userspace, подпись не влияет на возможность запуска файла).
Как я программу на вирусы проверял