关于File Hash Lookup API无法检测含恶意文件Zip包的咨询

1. File Hash Lookup API是否支持Zip包扫描？ #

不支持。该API仅针对你传入的文件本身的哈希值（比如Zip包的SHA256/MD5）进行信誉评估，不会解压扫描压缩包内部的文件。所以即使Zip包内含恶意文件，只要这个Zip包的哈希不在Sophos的恶意特征库中，就会返回低风险评分（比如你遇到的30分）。

2. 解决Zip包检测问题的方案 #

要实现对含恶意文件的Zip包的有效检测，可按以下方式处理：

• 改用File Scan API：Sophos Labs Intellix提供的File Scan API支持直接上传文件内容，会自动解压扫描压缩包（包括嵌套压缩包）内部的所有文件，能准确识别其中的恶意内容。调用该API时直接上传Zip包文件即可，无需手动处理。
• 本地预处理后批量查哈希：如果无法使用File Scan API，可先在本地解压目标Zip包，提取所有内部文件的哈希值，再逐个调用File Hash Lookup API检测。注意：此方法无法处理密码保护的压缩包，且需额外处理嵌套压缩包的递归解压逻辑，同时要考虑大文件解压的性能开销。
• 验证测试样本有效性：确认你的eicar.zip样本内确实包含完整的EICAR测试文件——部分工具生成的测试压缩包可能存在内容损坏，导致无法被检测。可手动解压后用本地Sophos杀毒软件验证内部文件是否能被识别。
• 核对API调用参数：确保调用File Hash Lookup API时使用的是主流哈希算法（如SHA256），相比MD5，SHA256在恶意特征库中的覆盖度更高，能降低漏检概率。

内容的提问来源于stack exchange，提问作者Kyl Esperanza