嵌套式有效載荷是如何通過簽名掃描的？

基於簽名的掃描是透過比對位元組來運作的。掃描引擎會儲存一個由已知惡意軟體擷取的雜湊值和位元組模式所組成的資料庫，而檔案必須包含與該資料庫相符的位元組，才會被偵測到。然而，當內容為嵌套結構時，有幾項因素會阻礙這種偵測機制發揮作用。

• 掃描程序讀取的是父檔案，而非其中的物件。掃描程序會將眼前的檔案視為單一二進位物件，並與簽名資料庫進行比對。嵌套內容以壓縮或編碼形式儲存，因此位於文件資料流中的可執行檔，其位元組序列幾乎與磁碟上的相同可執行檔完全不同。資料庫所搜尋的模式在儲存的檔案中並不存在，只有在該資料流被解壓縮後，才會成為可比對的對象。
• 無法掃描的檔案看起來與正常檔案無異。 結構異常會導致解析失敗。引擎無法完成評估，因此該檔案會被跳過而非被攔截，而「無法評估」的結果傳遞至下游時，與「未發現任何內容」的結果無法區分。
• 格式也可能因設計而產生誤導。一個多格式檔案同時符合兩種格式規範，因此某個解析器會將其視為某種格式，而該檔案的實際行為卻完全不同。
• 遞迴是有其限制的。嵌套容器受深度上限與掃描超時限制所約束，這自有其道理，因為無限制的遞迴本身就構成一種拒絕服務的風險。位於該限制範圍下的有效載荷永遠不會被評估，而將有效載荷置於引擎無法觸及的更深層級，所需的努力遠遠少於突破該限制。

最終得出的判定結果，其實不如表面上那樣具有說明性。「無結果」僅表示在引擎能夠解析的檔案片段中，未發現任何已知模式與之匹配。這既未說明檔案內部包含哪些元件，也未說明引擎從未開啟的那些層級。

基於簽名的掃描從來不是孤立運作的。現代檔案安全架構通常在設計上採分層架構，而其周圍的各層正是為了彌補模式比對無法涵蓋的部分而存在。

檔案類型識別是根據檔案的標頭（而非其宣告的副檔名）來判定檔案的真實類型。其設計上速度快且僅進行表層分析，旨在決定檔案應歸類至何處，而非分析其內容。動態分析則是在受控環境中觀察檔案的行為。這是應對未知威脅的合適工具，且若能有選擇性地應用，而非對每個檔案都進行分析，其效果會最佳。

最能說明這一點的方式，就是展示一個能通過掃描檢測卻仍攜帶惡意載荷的檔案。我們建立了一個概念驗證範例，將惡意載荷隱藏在一個看似無害的 PDF 檔案中。隨後，該範例經過一系列反惡意軟體引擎的檢測，結果均顯示為「乾淨」。

下一步，我們將在啟用「檔案結構驗證」功能的MetaDefender Core™ 中掃描此檔案。在擷取父檔案的嵌套元件後，「檔案結構驗證」會將輸出物件傳送至下游引擎進行進一步分析。

Metascan™Multiscanning 反惡意軟體引擎回報了「已感染」的判定結果。當有效載荷以獨立檔案的形式呈現時，先前回報未偵測到威脅的相同簽名資料庫，此次卻回報了感染。