web-dev-qa-db-ja.com

デバッガーがウイルス対策ソフトウェアによってトロイの木馬として検出されるのはなぜですか?

いくつかのexeファイルを分析するために、デバッガー(つまりOllyDbg)を使用しようとしています。

ただし、インターネットからダウンロードしたすべてのバージョンは、一部のアンチウイルスソフトウェアによってトロイの木馬と見なされます。 (www.virustotal.comを使用して、ダウンロードしたバイナリをスキャンします)

OllyDbgの主な動作は一種のトロイの木馬に属していますか?

現在、ダウンロードしたいOllyDbg v1.10 defixed([潜在的に有害なリンク]からのバージョンhttp://4server.info/download/4shared.com/rar/RFNpFbiP/ollydbg_v110_defixed.html

Virustotalによる「ollydbg v1.10 defixed.rar」のスキャン結果は次のとおりです。

VirusTotal results

「ollydbg v1.10 defixed.rar」には本当にトロイの木馬が含まれていますか?

6
lyenliang

質問で提供されたリンクは本当に怪しいようです。それが制限を取り除くことになっている「パッチされた」バージョンである場合、それはおそらく、修正プログラムが何らかの種類の追加の驚き(ウイルスなど)を追加したことです。公式サイトはすでにソフトウェアの無料版を提案しているので、ランダムな見知らぬ人からのウイルスの侵入を避けるために、ここから始めます。

そうは言っても、アンチウイルスが無害なプログラムをマルウェアとして検出することは不可能ではありません。これは、AVが既知のエクスプロイトのシグネチャを確認したり、メモリ範囲へのアクセスなどの異常な動作を検出したりするために発生します。

既存のプロセスへのバインド、関数呼び出しのルーティング解除、メモリの確認と変更などの必要性があるため、デバッガーにはこのような奇妙な動作があります。

19
M'vy

元の DeFixed_Edition.rar (OllyDbg-FOFF Team Edition 2.0)も偽陽性によって誤って検出されるため、これらの検出は偽陽性です。

プラグインの更新バージョンでファイルPhantOm.dll(PhantOmプラグイン)を更新すると、誤った検出の数 減少 が大幅に表示されます。