VirusTotal智能搜索

Posted 2021-12-28 ybdesire

1. VirusTotal介绍

从wiki参考4上，可以对VT（VirusTotal）有一个大致了解：

1. VirusTotal.com是一个免费的病毒、蠕虫、木马和各种恶意软件分析服务，可以针对可疑文件和网址进行快速检测，最初由Hispasec维护
2. VirusTotal.com曾在PC World杂志（美国版）的评选中，荣获2007年最优秀的100款产品之一的称号
3. 2012年9月7日 Google 已经收购了网络安全创业公司VirusTotal，旨在增强针对自身互联网服务的保护措施

2. 智能搜索示例

VT可以直接像搜索引擎一样使用，这没什么特别之处。

VT最强大的是，可以根据多个Operator组合做智能搜索，比如（如下案例来自参考2）：

1. 搜索具有不合理XREF表的PDF文件

方法1

type:pdf tag:invalid-xref

方法2

type:pdf AND tag:invalid-xref

2. 搜索所有DLL文件或者是EXE文件

type:pedll OR type:peexe

3. 搜索family是zbot的能正常运行（不crash）的文件

engines:zbot NOT tag:corrupt

这里的含义是：至少有一家vendor将family标为zbot，且不会corrupt（能在真实系统中运行）

4. 或逻辑与非逻辑组合搜索

(engines:zbot OR engines:sinowal) NOT (tag:corrupt)

这里的含义是：至少有一家vendor将family标为zbot，或者sinowal，且不会corrupt（能在真实系统中运行）

5. 超过5家vendor打为malware的pdf文件

type:pdf positives:5+

6. 能自动执行，且嵌入了js的pdf文件

type:pdf tag:autoaction tag:js-embedded

7. 含有能被漏洞利用的pdf

type:pdf tag:exploit

8. 搜索含有漏洞的文件

tag:exploit

9. 搜索含有某个特定漏洞CVE的文件

tag:cve-2012-0158

3. 参考

1. VT. https://www.virustotal.com/gui/home/search
2. VT Search operators. https://support.virustotal.com/hc/en-us/articles/360001387057
3. VT File search modifiers. https://support.virustotal.com/hc/en-us/articles/360001385897-VT-Intelligence-search-modifiers
4. https://zh.wikipedia.org/wiki/VirusTotal