avast!拉黑卡饭之外的技术面

aesirsson

刚在样本区闲逛的时候，某饭友对于avast!报Evo-gen表示拉黑，殊不知是avast!的技术之一 。

我也挺好奇好几个样本怎都报这个，但是跟拉黑是两回事 。

至于怎么知道是技术，闲暇时多爬文也是有益的：
https://blog.avast.com/2012/12/03/new-toy-research-lab/

The Avast backend classifiers use a number of techniques, but the two hot ones that the team has been working on hard recently are things that we call Malware Similarity Search and Evo-Gen.

中间略...

The second technology I mentioned, Evo-Gen, is somewhat similar but a bit subtler in nature. This is about finding as short and generic descriptions of large sets of malware samples as possible. Say you take a set of 1,000,000 malware samples (and 1,000,000 clean files) and give the algorithm the following task: find as few, and as brief descriptions of as many samples in the malware set, without describing any file in the clean set. Evo-Gen is a genetic algorithm that we have developed just for that. It often happens to find some real gems for us – e.g. a description of an apparently random set of tens of thousands of malware files scattered somewhat randomly across our virus sets. And the size of the description? 8 bytes.

大致上就是个基因侦测机制，也是avast!最近正在极力开发的技术之一 。

完毕，睡觉。

英九

不错的技术。

zhym91

简而言之，所谓报Evo－gen其实都是报的susp，就是小a的基于基因码的启发……该技术也不是啥新技术……mse也是基于基因码的。

aesirsson

zhym91 发表于 2013-2-15 06:16
简而言之，所谓报Evo－gen其实都是报的susp，就是小a的基于基因码的启发……该技术也不是啥新技术……mse也 ...

倒是最近才開始發揮功力。

zhym91

aesirsson 发表于 2013-2-15 13:17
倒是最近才開始發揮功力。

不完全是，只是以前样本区用小a去双击测试的比较少而已。

aesirsson

zhym91 发表于 2013-2-15 13:20
不完全是，只是以前样本区用小a去双击测试的比较少而已。

我私底下一直有在測試avast!的雙擊結果，測試樣本至少有100個以上，基本上以前我從未看過avast!報過Evo-gen，都是沙盤自動判斷攔截。僅供參考。

zhym91

aesirsson 发表于 2013-2-15 16:15
我私底下一直有在測試avast!的雙擊結果，測試樣本至少有100個以上，基本上以前我從未看過avast!報過Evo-g ...

需要将文件系统防护设置中的启发敏感度调为高，并且开启pup

萧逆水

很久之前就开始报Evo-gen [Susp]了……
F妹子样本很多都是这么报的……而且也不需要调高敏感度和PUP……
随便翻了一下我之前在样本区的记录就找到了几个：
http://bbs.kafan.cn/forum.php?mo ... ;page=1#pid27560767
http://bbs.kafan.cn/forum.php?mo ... ;page=2#pid27552543
另外拉黑卡饭附件和之前自动提交Web Shield侦测到病毒的记录也是有关系的，我曾发过一个帖子，发现更新毒库时Avast会提交Web Shield侦测到病毒的记录
，包括样本链接地址：http://bbs.kafan.cn/thread-1447277-1-1.html 正是由于很多人去样本区试毒，让官方发现卡饭域名下存在过多病毒感染的样本，最终才造成了拉黑的局面。

jyj

哦。懂了不少新东西啊。呵呵。