如何报告新的恶意软件?

信息安全 恶意软件 病毒 事件响应
2021-08-21 08:59:29

我有一个新的恶意软件,当前的反病毒供应商没有检测到。我如何向他们报告?

我想好好转身,帮助保护尽可能多的人。将它提供给尽可能多的反病毒供应商以帮助他们检测它的最好和最简单的方法是什么?是否有我应该上传样本的网站列表,或我应该将其发送到的电子邮件地址?

我知道Virustotal。我可以将样本提交给 Virustotal。那就足够了吗?目前很少或没有防病毒引擎检测到此恶意软件。提交样本是否足以让反病毒引擎知道它是恶意的并且应该被检测到,并触发它们对其进行分析并为其开发签名/检测器?

(对于我来说,反病毒供应商如何知道我的样本是恶意的,这对我来说并不明显,只是因为它被上传到了 Virustotal。我在 Virustotal 中没有看到任何用户界面,我指出“是的,这确实是恶意的,即使没有人检测到它”,所以我想知道它是否会在所有其他良性样本中丢失。我听说过很多恶意软件案例在任何防病毒引擎开始检测之前已经上传到 Virustotal 数月或数年。所以这让我怀疑将其上传到 Virustotal 是否足够。)

我已经看过了,但我还没有在这个网站上找到答案。这是我发现的:

  • 在哪里报告恶意 URL、网络钓鱼和恶意网站?提供了在哪里报告网络钓鱼网站和其他恶意网站的列表,但没有说明在哪里提交恶意软件样本。

  • 未知恶意软件,如何报告以及向谁报告?在更具体的情况下提出相关问题。一个答案提到了 Virustotal,但在通知 A/V 供应商触发分析方面,它没有回答我提交给 Virustotal 是否真的有效的问题。另一个答案提供了表单的链接,您可以在其中将恶意软件样本上传到两家防病毒供应商,但这只是数十家供应商中的两家——如果我需要直接提交给 A/V 供应商,我希望有更多易于参考的综合列表。

4个回答

注意:本文中的所有信息均从此处的技术支持文章中复制而来

每个主要的反恶意软件供应商都有一个专用的电子邮件地址,可以通过该地址提交新样本。程序如下:

  1. 配置您的电子邮件客户端
  2. 制作受密码保护的存档并将示例添加到其中。密码应该是“被感染的”。
  3. 将样本发送到以下电子邮件地址,主题为“密码已被感染”:

Ahnlab Antivirus - v3sos@ahnlab.com
AVAST Antivirus - virus@avast.com
Avira Antivirus - virus@avira.com
Bit Defender - virus_submission@bitdefender.com
Bluepoint Security - samples@bluepointsecurity.com
Comodo Antivirus -malwaresubmit@avlab.comodo.com
Dr Web - vms@drweb.com
EMCO 防病毒软件-malware@emcosoftware.com
Emsisoft 防病毒软件- submit@emsisoft.com
eSafe 安全软件- virus@esafe.com
eScan 防病毒软件- samples@escanav.com
Fortinet 防病毒软件- submitvirus@fortinet.com
间谍紧急情况- research@spy-emergency.com
F-PROT Antivirus - viruslab@f-prot.com
FSB Antivirus - labs@fsb-antivirus.com
F-Secure - vsamples@f-secure.com
Orbitech Hazard Shield - virus@orbitech.org
IKARUS 安全软件- samples@ikarus。在
Immunet Antivirus - submit@samples.immunet.com
K7 Antivirus - k7viruslab@labs.k7computing.com
Kaspersky - newvirus@kaspersky.com
江民杀毒- support@jiangmin.com
Lavasoft Antivirus and Antimalware - research@lavasoft.com
McAfee Avert Stinger - virus_research@avertlabs.com
Micropoint Anrivirus - virus@micropoint.com.cn
Microsoft Security Essentials - avsubmit@submit.microsoft.com
Nano Antivirus - virus@nanoav.ru
ESET Antivirus - samples@eset.com
Noralabs Norascan Antivirus - support@noralabs.com
Norman Security Suite - analysis@norman.no
在此处输入链接描述nProtect - virus_info@inca.co.kr
Panda Security -virus@pandasecurity.com
Psafe Total - psafe@psafe.com
360Safe - kefu@360.cn
Rubus 臭氧杀毒软件- support@rubus.co.in
Smartcop 杀毒软件 -virus @s-cop .com
Sophos - samples@sophos.com
Spybot Search and Destroy- detections@spybot.info
SRN Micro Antivirus - vlab@srnmicro.com
Symantec Antivirus - avsubmit@symantec.com
Moosoft Antivirus - trojans@moosoft.com
Hacksoft Antivirus - virus@hacksoft.com.pe
Thirtyseven4 Antivirus - virus@thirtyseven4.com
CA技术- virus@ca.com
木马猎人- submit@trojanhunter.com
Simply Super Trojan Remover - support@simplysup.com
Filseclab Antivirus - virus@filseclab.com
ThreatTrack 安全性-malware-cruncher@s​​unbelt-software.com
ViRobot Antivirus - viruslab@ hauri.co.kr
病毒块 Ada - newvirus@anti-virus.by
Webroot 防病毒软件- esupport@webroot.com
Zillya!杀毒- virus@zillya.com
金山杀毒- huangruimin@kingsoft.com
MKS - pomoc@mks.com.pl
神盾杀毒- support@aegislab.com
快愈杀毒- viruslab@quickheal.com
前哨杀毒- trojans@agnitum.com
百度杀毒软件- bav@baidu.com

TL;DR:我建议提交给 VirusTotal 就足够了。

细节:

因为有太多的恶意软件样本,而且现代恶意软件活动中的每个二进制文件都可以被测试为 FUD(完全无法检测),所以我认为 VirusTotal 是最好的。供应商可能会也可能不会接受它,但这为您提供了做一些好事的最佳机会。

这是与 FUD 相关的旧链接以及为什么您的样本可能无法被检测到: http ://www.symantec.com/connect/blogs/fully-undetectable-cryptors-and-antivirus-detection-arms-race

我对这个建议的唯一警告是,如果你认为你有一些非常有趣或独特的东西(想想 Flame、Stuxnet 等)。如果是这种情况,我建议直接联系供应商,并提供一些证据来说明您为什么认为这是独一无二的。

以下是来自 VirusTotal 的一些关于他们与什么/谁共享的信息 ( https://www.virustotal.com/en/about/ ):

VirusTotal 和保密性

发送到 VirusTotal 的文件和 URL 将与防病毒供应商和安全公司共享,以帮助他们改进服务和产品我们这样做是因为我们相信它最终会带来更安全的互联网和更好的最终用户保护。

默认情况下,提交给 VirusTotal 的任何文件/URL 被至少一个扫描器检测到,都会免费发送到所有未检测到资源的扫描器此外,所有文件和 URL 都会进入高级(主要是安全/反恶意软件公司/组织)VirusTotal 用户可以访问的私人商店,以改进他们的安全产品和服务。

希望有帮助!

  1. http://www.uploadmalware.com/
  2. http://www.virussign.com/
  3. https://www.mywot.com/wiki/Malware_submission

希望这已经足够了,您可能希望在您可以将其放入您的简历之后发表您自己的关于此恶意软件的文章。

反病毒公司有一个“提交样本”选项,但不要指望他们会手动详细审查它。他们有自动化的动态行为分析工具(即沙箱)来运行这些可执行文件并查看那里是否出现了任何危险信号。Virus Total 还在其沙箱中运行它并向其用户提供详细信息。在那里提交比将其提交给单个供应商 b/c 效果要好得多,这使得文件可以更快地提供给更广泛的受众。

话虽这么说,如果恶意软件针对的是大型企业或关键基础设施或大量关键数量的群众,他们都会有兴趣分析这一点,如果你能说服他们是这样的话。如果恶意软件针对的是普通用户并且没有影响到大量用户,那么供应商就没有太大的动力来根据请求分析文件(许多可能是误报)而没有获得报酬。

你最好的办法是说服独立/自由安全研究员。您可以通过 Twitter 或他们的博客访问其中的许多内容。如果您可以提供一些令人信服的细节,他们可以决定免费对其进行更详细的分析,因为这对他们的声誉和他们的博客来说是很好的材料。但是,我敢肯定,在完全深入研究之前,他们还会对其进行气味测试。手动分析并不便宜(即需要时间)。

有关一些相关详细信息,请参见此处

我在哪里可以找到可以检查 exe 并验证其合法性的工程师?