Vì sao chương trình bị phần mềm diệt virus gắn cờ?

Giải thích về việc bị phần mềm diệt virus phát hiện

Đây là kết quả dương tính giả. Mọi phần mềm riêng tư chất lượng cao được thiết kế để vượt qua anti-cheat đều sử dụng các kỹ thuật bị phần mềm diệt virus coi là đáng ngờ — đơn giản vì đây cũng là những kỹ thuật mà mã độc thực sự sử dụng. Cảnh báo của phần mềm diệt virus là dấu hiệu cho thấy phần mềm đang hoạt động ở cấp độ hệ thống thấp.

H: Một cheat không kích hoạt phát hiện của phần mềm diệt virus có tốt hơn không?

Không. Phần mềm riêng tư không kích hoạt phần mềm diệt virus hoặc là thiếu các thao tác cấp thấp cần thiết (nhiều khả năng sẽ thất bại trước các anti-cheat nghiêm ngặt) hoặc đã nằm trong cơ sở dữ liệu chữ ký của anti-cheat.

H: 40/72 phát hiện trên VirusTotal có bình thường không?

Có, hoàn toàn bình thường. Đây không phải là phát hiện một loại virus cụ thể — mà là phát hiện trình bảo vệ Themida dùng để che mã. Themida là phần mềm thương mại hợp pháp dùng để bảo vệ chương trình khỏi bị dịch ngược.

W64/Themida.WN
Win64/Packed.Themida.Q
Suspicious App
Generic.Packed
Unsafe

H: Nhưng 40 phát hiện không phải là quá nhiều sao?

Nghịch lý là virus thực sự thường có 0–5 phát hiện trên VirusTotal, không phải 40. Nhà phát triển mã độc kiểm tra tệp trên VT trước khi phát tán và dùng cryptor riêng. Chúng tôi dùng Themida — một protector thương mại công khai. Chúng tôi không cần trốn tránh phần mềm diệt virus; chúng tôi cần bảo vệ mã khỏi bị anti-cheat phân tích.

Số lượng phát hiện cao trên VT với nhãn như "Themida/Packed/Suspicious" là dấu hiệu của phần mềm được bảo vệ hợp pháp, không phải virus. Việc bị phần mềm diệt virus phát hiện là tác dụng phụ của các công nghệ cần thiết để hoạt động ở cấp kernel.