MetaDefender v3.2.0 版本發布：推出五層零日漏洞偵測功能

MetaDefender 3.2.0 引入了一個新的執行前決策點，並針對分析與偵測功能進行了一系列改進。其主要架構變更在於將Predictive Alin AI作為第 2 層，置於「威脅聲譽」與「動態分析」之間。

MetaDefender 是OPSWAT統一式零日漏洞偵測解決方案，旨在將自適應沙箱、威脅情報、威脅評分及機器學習相似性搜尋整合至協調一致的偵測流程中。3.2.0 版本新增了預測性靜態分析功能，同時並未移除任何現有的分析階段。

這五層分別是：

1. 威脅聲譽：根據已知情報對檔案和基礎架構進行比對
2. 靜態分析：運用 Predictive Alin AI 在程式執行前評估惡意意圖
3. 動態分析：模擬可疑及未解析的檔案，以揭露其執行時行為
4. 威脅評分：將相關證據整合為基於可信度的風險評分與判定結果
5. 威脅獵捕：將樣本與相關的惡意軟體家族、基礎設施及攻擊活動建立關聯

原先的第 2、3 和 4 層，現改為第 3、4 和 5 層。新層級不會強制每個檔案都經過另一輪冗長的分析階段，而是協助決定每個檔案需要多少額外的檢查。

五層管道機制會根據每個檔案的現有證據，逐步進行更深入的分析。已知威脅可及早被識別，高可信度的預測可獲得執行前的判定結果，而狀態不明的檔案則可繼續進行模擬與威脅追蹤，同時不會削弱最終的判斷結果。

「威脅聲譽」功能可識別已知的威脅及攻擊者基礎設施。MetaDefender 會透過線上或離線的聲譽資料來源，檢查現有情報中是否包含檔案雜湊值、URL、IP 位址及網域。若檔案的聲譽評估結果無法明確判定，則會繼續進行靜態分析。離線聲譽功能亦支援受監管及物理隔離的環境，在這些環境中可能無法取得雲端情報。

預測性 Alin AI 會在執行、觸發或運行時監控之前，分析檔案的結構、語義及行為指標。這款由人工智慧驅動的惡意軟體偵測引擎能在數毫秒內提供基於機器學習的判定結果，並可線上或完全離線運作。

第 2 層支援兩項主要成果：

• 迴避：可信度高的乾淨檔案可避免不必要的沙箱分析

• 偵測：能夠在執行前識別並攔截高可信度的惡意檔案，包括傳統防毒引擎可能無法辨識的檔案

針對受支援的高風險可執行檔，Predictive Alin AI 經過專門設計，其 P90 判定時間為 50 毫秒，P99 判定時間則低於 100 毫秒。未達到所需信心閾值的檔案將繼續進行動態分析，而非僅依賴可信度較低的靜態判定結果。

Predictive Alin AI 亦將靜態檢查功能擴展至受支援的人工智慧與機器學習模型檔案。此項分析有助於識別嵌入其中的任意程式碼，這些程式碼可能在載入模型時被執行。

動態分析會將可疑及未解決的樣本傳送至MetaDefender 基於模擬的自適應沙箱。MetaDefender 透過模擬指令、檔案操作、腳本以及相關的作業系統互動來運作，而非依賴傳統的虛擬機器。

指令級模擬有助於揭露那些利用反虛擬機檢測、延遲執行、結構異常或環境條件來干擾自動化分析的惡意軟體。MetaDefender 能夠揭露執行時行為、載入器鏈、隱藏有效載荷以及遭入侵指標。

新發現的指標可納入本地聲譽資料庫，並改善未來第一層的決策。經確認的零日漏洞發現，能強化未來的聲譽評估與預測分析，協助 Aether 在流程更早階段識別相關變種。

威脅評分機制會將來自聲譽分析、靜態分析及動態分析的證據相互關聯，進而生成基於可信度的風險評分。該評分引擎會整合諸如持久化、進程注入、有效載荷傳遞、可疑檔案修改以及指揮與控制活動等訊號。

由此得出的評估結果不僅能支援政策執行，還能協助分析人員針對需要立即調查的威脅進行優先排序。整合評分亦能減少對跨多款分析工具所產出、彼此無關聯的分析結果進行解讀的需求。

MetaDefender 3.2.0 提供更清晰且以證據為依據的分類，能明確傳達威脅的可能身分與意圖。分析師可更快理解分析結果，並將更豐富的背景資訊融入威脅評分、威脅獵捕及後續應對措施中。

威脅歸因會針對提交的檔案，以及在分析過程中發現的已下載或已解壓縮檔案，分別進行獨立計算，協助分析人員辨別多階段攻擊中各組件的角色與風險。

MetaDefender 3.2.0 強化了對基於區塊鏈的基礎設施隱匿、格式錯誤的可執行檔、基於文件的載荷傳遞、破壞性惡意軟體以及社會工程學等威脅的偵測能力。此版本同時擴大了惡意軟體配置提取功能，並擴大了本地聲譽評分系統的覆蓋範圍。

EtherHiding 會將惡意指令、URL 或攻擊者控制的基礎設施隱藏於區塊鏈交易及智慧合約之中。去中心化服務會使傳統的封鎖與下架措施更加困難。新的偵測邏輯有助於分析人員識別與 EtherHiding 相關的活動，並檢查受分析樣本所引用的基礎設施。

可透過設計畸形的 .NET 組件，使解析器、反編譯器或自動化分析工具在尚未觸及惡意程式碼之前便發生錯誤。MetaDefender 現已新增對與分析干擾及規避行為相關的畸形 .NET 結構的偵測功能。

MetaDefender 3.2.0 能更精準地區分惡意遠端範本注入與一般嵌入式連結。此更新在偵測透過八進位編碼隱藏的惡意 IP 位址的同時，也減少了來自合法 URL 的誤報。這使威脅分析師在應對經過混淆處理的文件攻擊時，能獲得更全面的防護，同時避免產生不必要的調查干擾。

「擦除型」惡意軟體旨在破壞、損毀資料與系統，或使其無法使用。新的偵測技術能更有效地識別這類可能無法恢復的破壞性惡意軟體。在以營運可用性為首要考量的重要基礎設施、政府及製造業環境中，及早偵測尤為重要。正如我們先前部落格文章所探討的，擦除型惡意軟體是營運技術（OT）攻擊中最常見的攻擊手段之一。

ClickFix 攻擊活動會利用偽造的瀏覽器錯誤訊息、驗證提示以及類似 CAPTCHA 的介面，誘使用戶執行惡意指令。MetaDefender 3.2.0 擴展了基於 OCR（光學字元辨識）的 CAPTCHA 識別功能，包括支援經過混淆處理但仍以視覺形式呈現的偽造 CAPTCHA。

這項分析考量了使用者在渲染後的頁面中所看到的內容，即使底層內容的結構是為了規避基於文字的偵測而設計的。我們先前發表的部落格文章探討了如何在 ClickFix 攻擊抵達終端裝置之前，就加以偵測並阻止。

檔案會透過電子郵件、受管檔案傳輸、雲端應用程式、網頁上傳、可移除儲存媒體、軟體更新以及供應鏈工作流程進入組織。MetaDefender 3.2.0 可協助 IT 與 OT 資安團隊在這些檔案傳遞至使用者或受保護系統之前進行檢查。

高可信度的決策可減少不必要的沙箱分析及分析延遲，有助於高流量檔案工作流程持續運作，同時讓不確定的樣本接受更深入的檢查。整合式的判定結果、更清晰的歸因以及活動背景資訊，有助於 SOC 團隊減少花在關聯零散發現上的時間，並將調查重點放在需要採取行動的威脅上。

透過預測、模擬、聲譽評分與威脅追蹤之間的持續反饋循環，新證據得以強化未來的偵測能力並輔助決策。

進一步了解MetaDefender ，或聯絡OPSWAT 升級至 3.2.0 版本OPSWAT 。