MetaDefender v3.2.0 发布：推出五层零日漏洞检测功能

MetaDefender 3.2.0 引入了一个新的执行前决策点，并对分析和检测功能进行了一系列改进。其主要架构变更在于将Predictive Alin AI作为第二层（Layer 2），位于威胁信誉评估和动态分析之间。

MetaDefender 是OPSWAT统一的零日漏洞检测解决方案，旨在将自适应沙箱、威胁情报、威胁评分和机器学习相似性搜索整合到一个协调的检测管道中。3.2.0 版本在保留所有现有分析阶段的基础上，新增了预测性静态分析功能。

这五层分别是：

1. 威胁声誉：根据已知情报对文件和基础设施进行核查
2. 静态分析：利用Predictive Alin AI在执行前评估恶意意图
3. 动态分析：模拟可疑和未解析的文件，以揭示其运行时行为
4. 威胁评分：将证据进行关联分析，生成基于置信度的风险评分和判定结果
5. 威胁狩猎：将样本与相关的恶意软件家族、基础设施和攻击活动建立关联

原来的第 2、3 和 4 层分别变为第 3、4 和 5 层。新层不会强制每个文件都经过另一个漫长的分析阶段，而是有助于确定每个文件需要进行多少额外的检查。

五层处理流程会根据每个文件可用的证据，逐步进行更深入的分析。已知威胁可被及早识别，高可信度的预测可获得执行前的判定结果，而状态不明的文件则可继续进行仿真和威胁狩猎，同时不会削弱最终的决策结果。

威胁声誉功能可识别已知的威胁和攻击者基础设施。MetaDefender 会利用在线或离线的声誉数据源，检查文件哈希值、URL、IP 地址和域名的相关情报。对于声誉结果不明确的文件，将进入静态分析阶段。离线声誉功能还支持受监管和物理隔离的环境，在这些环境中可能无法获取云端情报。

预测性Alin AI会在执行、触发或运行时监控之前，对文件的结构、语义和行为指标进行分析。这款基于人工智能的恶意软件检测引擎能在几毫秒内给出机器学习判定结果，并支持在线或完全离线运行。

第 2 层支持两种主要结果：

• 规避：可信度高的干净文件可避免不必要的沙箱分析

• 检测：可在执行前识别并拦截高可信度的恶意文件，包括传统杀毒引擎可能无法识别的文件

对于受支持的高风险可执行文件，Predictive Alin AI 经过专门设计，其 P90 判定时间为 50 毫秒，P99 判定时间低于 100 毫秒。不符合所需置信度阈值的文件将进入动态分析阶段，而非依赖于可信度较低的静态判定结果。

预测性 Alin AI 还将静态检查功能扩展到了受支持的 AI 和机器学习模型文件。该分析有助于识别嵌入在模型中的任意代码，这些代码可能在模型加载时被执行。

动态分析会将可疑和未解决的样本发送至MetaDefender 基于仿真的自适应沙箱。MetaDefender 通过模拟指令、文件操作、脚本以及相关的操作系统交互来实现防护，而非依赖传统的虚拟机。

指令级仿真有助于揭露那些利用反虚拟机检测、延迟执行、结构异常或环境条件来干扰自动化分析的恶意软件。MetaDefender 能够揭示运行时行为、加载器链、隐藏有效载荷以及入侵指标。

新发现的指标可纳入本地信誉数据库，并有助于优化未来的第一层决策。已确认的零日漏洞发现可增强未来的信誉评估和预测分析，帮助 Aether 在处理流程的早期阶段更早地识别相关变种。

威胁评分将来自声誉分析、静态分析和动态分析的证据综合起来，生成一个基于可信度的风险评分。该评分引擎整合了诸如持久化、进程注入、有效载荷投放、可疑文件修改以及命令与控制活动等信号。

由此得出的评估结果既能为政策执行提供支持，又能帮助分析师确定哪些威胁需要优先进行调查。综合评分还减少了分析人员对多个分析工具中相互脱节的分析结果进行解读的需求。

MetaDefender 3.2.0 提供了更清晰、有证据支持的分类结果，能够准确反映威胁的可能身份和意图。分析师可以更快地理解分析结果，并在威胁评分、威胁狩猎以及后续响应过程中融入更丰富的背景信息。

威胁归因会针对提交的文件以及在分析过程中发现的已下载或已解压文件分别进行计算，这有助于分析人员区分多阶段攻击中每个组件的作用和风险。

MetaDefender 3.2.0 提升了在基于区块链的基础设施隐蔽、格式错误的可执行文件、基于文档的有效载荷传递、破坏性恶意软件以及社会工程学等领域的检测能力。此次更新还扩展了恶意软件配置提取功能，并扩大了本地信誉评估的覆盖范围。

EtherHiding 会将恶意指令、URL 或攻击者控制的基础设施隐藏在区块链交易和智能合约中。去中心化服务会使传统的封堵和下架操作变得更加困难。新的检测逻辑有助于分析人员识别与 EtherHiding 相关的活动，并检查被分析样本所引用的基础设施。

可以通过精心设计格式错误的 .NET 程序集，使解析器、反编译器或自动化分析工具在尚未接触到恶意代码之前就出现故障。MetaDefender 现已新增对与分析干扰和规避相关的格式错误 .NET 结构的检测功能。

MetaDefender 3.2.0 能更准确地区分恶意远程模板注入与普通嵌入链接。此次更新在检测通过八进制编码隐藏的恶意 IP 地址的同时，减少了来自合法 URL 的误报。这使威胁分析师能够更全面地应对经过混淆处理的文档攻击，同时避免产生不必要的调查干扰。

“擦除型”恶意软件旨在破坏、篡改数据或系统，或导致数据和系统无法使用。新的检测技术能够更有效地识别那些可能无法恢复的破坏性恶意软件。在将运营可用性视为重中之重的关键基础设施、政府及制造业环境中，尽早发现此类威胁尤为重要。正如我们之前在博客中探讨的那样，擦除型恶意软件是运营技术（OT）攻击中最常用的武器之一。

ClickFix 攻击活动利用虚假的浏览器错误提示、验证提示以及类似 CAPTCHA 的界面，诱使用户执行恶意命令。MetaDefender 3.2.0 扩展了基于 OCR（光学字符识别）的 CAPTCHA 识别功能，包括对经过混淆处理但仍以视觉形式呈现的虚假 CAPTCHA 的支持。

该分析考虑了用户在渲染后的页面上所看到的内容，即使底层内容的结构旨在规避基于文本的检测。我们之前的博客探讨了如何在ClickFix攻击到达终端之前就将其检测并阻止。

文件通过电子邮件、受管文件传输、云应用程序、网页上传、可移动存储介质、软件更新以及供应链工作流进入组织。MetaDefender 3.2.0 可帮助 IT 和 OT 安全团队在这些文件到达用户或受保护系统之前对其进行检查。

高可信度的决策可减少不必要的沙箱分析和分析延迟，有助于高吞吐量文件工作流保持顺畅运行，同时对存在不确定性的样本进行更深入的检查。整合后的判定结果、更清晰的归因以及活动背景信息，有助于安全运营中心（SOC）团队减少在关联分散发现结果上花费的时间，并将调查重点集中在需要采取行动的威胁上。

预测、仿真、声誉和威胁狩猎之间的持续反馈循环，使得新证据能够强化未来的检测并辅助决策。

了解有关MetaDefender 的更多信息，或联系OPSWAT 升级至 3.2.0 版本OPSWAT 。