Список детектов, помеченных как подозрительные с помощью Ocean Screenshare Tool

Подозрительные журналы — это детекты крайне подозрительных исполняемых файлов; хотя они не дают стопроцентной уверенности, они указывают на высокую вероятность подозрения. В этом случае мы сообщаем, почему файл подозрителен. Если немного подумать и прочитать описание детекта, станет ясно, чем файл подозрителен, и его нужно проверить вручную.

Обнаружение Qemu / VMWare / Sandboxie / Parallels / VirtualBox / Virtual PC

Означает, что исполняемый файл проверяет, не запущен ли он в виртуальной машине; это используется как антиотладочная и античитерская техника в некоторых играх.

DotNetExecutable / DotNetDLL

Относится к файлам, созданным на CSharp/C#. Такие файлы приходится помечать, потому что подавляющее большинство обходов написано на этом языке, а запуск программы на C# и так встречается очень редко.

UPX Packer / общий упакованный файл / A1 / A2 / A3 / X1 / X2

Указывает на запуск неподписанного файла, защищённого такими программами, как VMProtect, Themida и др., которые часто используются для защиты читов. Это не означает, что пользователь использует читы, но является явным признаком.

Изменённый файл / L1 / B / D / F5

Файлы, намеренно изменённые для обхода векторов обнаружения; этот метод редко применяют против отладки и реверс-инжиниринга.

P1 / P2

Указывает на использование Process Hollowing или аналогичных техник для обхода векторов запуска.

Использование AutoIT / AutoHotkey

Указывает на файлы, созданные с помощью AutoIT / AutoHotkey, которые широко используются для создания макросов и автокликеров, но это не значит, что так на все 100 %.

S1 / DLL / BSoD / S2 / C3 / C4 / A

Надёжное обнаружение читов

Подозрительный Net-файл

Указывает на упакованный (защищённый) файл, написанный на C#