文件名是否会影响防病毒误报[关闭]答案

【问题标题】：Does the file name affect antivirus false positives [closed]文件名是否会影响防病毒误报[关闭]
【发布时间】：2014-06-23 05:45:26
【问题描述】：

我在我的安装程序名称后面加上版本号，如“progname_setup_1.1.5678.9101.exe”。我喜欢它，因为它使我可以轻松跟踪并让用户从之前的下载中识别它。这是 .net 的 Inno Setup 版本。并且已经签名（如果重要的话）。

这意味着文件名会随着每次更新而改变。这种做法会增加防病毒软件误报的机会吗？如果我保持相同的文件名（例如，progname_setup.exe），也许该文件将有机会建立声誉，即使内部版本号会发生变化。或者也许杀毒软件根本就不能那样工作。

那么，关于防病毒文件命名的最佳方法是什么：progname_setup_1.1.5678.9101.exe、progname_setup.exe，还是没关系？

【问题讨论】：

防病毒程序肯定会重视文件名，是的。它将对您的申请产生多大影响？我不确定。
Filename occasionally makes a difference to an AV。 Even Windows sometimes treats files differently based on filename。但是您应该可以在文件名中保留版本号 (progname_setup_1.1.5678.9101.exe)；我见过很多应用程序都这样做。但请注意，您可能会引发“双重扩展”警告 (.9101.exe)。
由于这不是关于编写防病毒软件，您可能会在Information Security 获得更好的答案。
这个问题似乎跑题了，因为它是杀毒软件，不是编程，可能适合security.stackexchange.com

标签： antivirus

【解决方案1】：

我真的不能代表“所有”反病毒引擎，但好的引擎真的不使用文件名作为任何指标，因为它太不可靠了。想想看，如果一个 AV 定义文件说“FOO.EXE == Malicious Virus”，恶意软件编写者所要做的就是不断更改文件名。

AV 引擎，至少是好的引擎，通过在文件主体中查找位模式来工作；通常可以存在于文件中任何位置的特定位模式。现在，您不必相信我的话，查看 CLAMAv 签名数据库文档，您会发现“文件名”或任何其他文件元数据（如大小、权限等）甚至都不是您可以指定的在签名中。

如果您想确定样本不会触发误报，您也可以通过 scanii 的网络扫描工具 https://scanii.com/free-virus-scan/ 运行您的样本 - 免责声明 scanii 是我最喜欢的项目。

【讨论】：