VirusTotal
Google 旗下文件与 URL 多引擎扫描
简介
VirusTotal 由 Hispasec Sistemas 2004 年创办，2012 年被 Google 收购。把上传的文件 / URL / IP 同时丢给 70+ 个杀毒引擎和威胁情报源扫描，结果聚合呈现，是行业事实标准的恶意软件分析平台。
核心功能
- 70+ 杀毒引擎并行扫描
- URL / 域名 / IP 信誉查询
- 静态文件分析（YARA / 特征）
- 内嵌动态沙盒
- 威胁情报 API
- 社区共享分析结果
- Chrome 扩展一键扫描
优缺点
优点
- Google 收购后基础设施稳定
- 70+ 杀毒引擎结果聚合
- 公共版完全免费
- 行业事实标准（SOC 必备）
缺点
- 公共版上传文件会被社区查到
- 高级 API 与情报需企业订阅
- 动态沙盒深度不及 Hybrid Analysis
详细介绍
这是什么
VirusTotal 是西班牙公司 Hispasec Sistemas 于 2004 年创办的多引擎恶意软件扫描服务。2012 年被 Google 收购，目前是 Google Cloud Security 体系的一部分。截至 2026 年，VirusTotal 是恶意软件分析的行业事实标准——几乎所有 SOC / 应急响应团队都在用。
它的核心机制简单粗暴：把用户上传的文件 / 链接 / 域名 / IP 同时丢给 70+ 个商业杀毒引擎（卡巴斯基、Bitdefender、McAfee、ESET、卡卡、迈克菲等）+ 威胁情报源扫描，结果聚合显示——哪个引擎说"恶意"、哪个说"干净"、文件的静态行为特征、动态沙盒结果。
出海团队的合规用法
对 chdh.me 受众非常实用：
- **客服 / 投手收到可疑链接**：扔进 VirusTotal 扫一遍再点
- **可疑邮件附件**：上传文件看检测结果
- **新合作伙伴发来的安装包**：先验证再装到工作机
- **第三方下载链接**：复制 URL 进 VirusTotal 看历史报告
- **自家域名是否被举报为恶意**：搜自己的域名看有没有引擎标黑
关键参数（截至 2026-05 公开资料）
- 公共版（社区免费）：上传 / 扫描 / 查询结果共享给社区
- VirusTotal Premium：付费版，结果私有 + 高级 API 配额
- VirusTotal Intelligence：威胁情报 API（企业）
- 引擎数量：70+（持续滚动）
- 数据类型：File / URL / Domain / IP
- 静态分析：YARA 规则、特征值
- 动态分析：内嵌沙盒（Cuckoo 等）
- 单文件上限：常规 650MB（具体以官网为准）
适合谁
- 跨境团队的全员（客服 / 投手 / 运营都该会用）
- 安全研究员 / 应急响应
- 出海企业 IT / SRE
- 任何收到可疑文件 / 链接的人
不适合谁
- 处理高度机密文件（公共版上传后可被社区查到 — 用 Premium 私有版）
与主要竞品的区别
- **vs Hybrid Analysis**：Hybrid Analysis 沙盒动态分析更深，VirusTotal 静态多引擎扫描更广
- **vs ANY.RUN**：ANY.RUN 交互式沙盒强（可在沙盒内点击），VirusTotal 自动化覆盖度高
- **vs Joe Sandbox**：Joe Sandbox 商业沙盒更深，VirusTotal 普惠免费
注意事项
- **隐私敏感数据不要上传**：公共版上传的文件会被社区分析师查到。包含公司机密、个人信息的文件不要走公共版，要用 VirusTotal Premium 私有版
- **单引擎报毒 ≠ 文件恶意**：误报常见，看综合检出率 + 引擎权威性
- **企业级订阅 Intelligence 比社区版强很多**
法律与合规边界
VirusTotal 完全合法——它是防御性工具，目的是识别恶意软件。**上传别人发来的可疑文件分析是正常用法**。**不要上传他人隐私数据 / 商业机密走公共版**——隐私风险，不是法律问题但需注意。
常见问题
VirusTotal 是免费的吗？
公共版完全免费——上传文件 / URL / 域名扫描所有都不收费。但上传的内容会被社区分析师查看。如果文件涉及隐私 / 机密，需要 VirusTotal Premium（付费）私有版。
上传公司内部文件安全吗？
不安全。公共版上传后文件可被付费订阅的社区分析师（含安全研究员、SOC、其他企业）下载分析。包含商业机密、客户数据、个人信息的文件**绝对不要走公共版**，用 Premium 私有版或本地沙盒。
70 个引擎里有几个报毒就算恶意？
没有硬阈值。看综合：（1）权威引擎（卡巴斯基 / Bitdefender / ESET）报毒比小厂报毒更可信；（2）静态行为特征是否可疑；（3）沙盒动态分析结果。一般 5+ 个权威引擎报毒基本可判定恶意，1-2 个可能是误报。
VirusTotal 和 Hybrid Analysis 选哪个？
互补不替代。VirusTotal 静态多引擎扫描广（70+）+ 数据库大；Hybrid Analysis 动态沙盒深 + 行为分析报告详细。常规可疑文件先扫 VT，重点可疑文件再丢 Hybrid Analysis 看行为。
可以查 URL 是不是钓鱼吗？
可以。粘贴 URL 进 VirusTotal，会用 70+ URL 信誉引擎扫描 + 显示历史报告 + 域名 Whois + 关联文件。是判断可疑链接的第一道防线。
