База данных шестнадцатеричных вирусных сигнатур

Question

За последние пару недель я занимался разработкой простого антивирусного сканера. Это прекрасно работает, но мой вопрос: кто-нибудь знает, где я могу получить базу данных (один файл), которая содержит 8000 или более вирусных сигнатур с их именами и, возможно, индикатор риска (высокий, низкий, неизвестный)?

Answer 1

Попробуйте базу данных ClamAV. Это также включает в себя некоторые более сложные сигнатуры, но некоторые являются просто последовательностями байтов.

Формат файла CVD представляет собой сжатый tar-файл с прикрепленным блоком заголовка; см. здесь для информации заголовка, или этот PDF для реальных деталей.

Насколько я понимаю, вы должны быть в состоянии распаковать его с

dd if=file.cvd bs=512 skip=1 | tar zxvf -

Это распакует в коллекцию различных файлов; для файлов, которые имеют простые шестнадцатеричные подписи, они будут найдены в файле с расширением .db, Не все эти подписи являются чисто шестнадцатеричными - многие из них содержат символы подстановки, такие как ?? для "разрешить любой байт здесь", * для "разрешить любое количество промежуточных байтов здесь", (-4096) для "разрешить до 4k промежуточных байтов здесь" и так далее.