关于ESET Nod32和小红伞所运用的启发式技术

-oAo-

我也不知道

strawman0719

搓一把 发表于 2011-9-5 11:02
NOD32有“variant”、“probably”或带“Gen” 字样的报法应该属于静态启发报毒。而动态高启发报毒，则是以 ...

呵呵  NOD32最多的就是“可能是XXX的变种”
红伞才报gen  

调查清楚下吧

strawman0719

红伞的启发以静态启发为主，精髓在于分析文件本身，反编译后程序代码所调用的win32 API函数情况（特征组合、出现频率等）判断程序的具体目的是否为病毒、恶意软件，符合判断条件即报警提示用户发现可疑程序，达到防御未知病毒、恶意软件的目的

ESET的启发是静态和动态兼有，以动态虚拟机启发为主，精髓在于动态虚拟机中分析程序行为，给程序执行环境。简单说就是在系统中虚拟隔离出来的一个系统给程序运行，观察分析程序行为，判定文件，详见：http://www.eset.com.cn/2008/0801/302.html

Johnny.R

strawman0719 发表于 2011-9-5 13:59
红伞的启发以静态启发为主，精髓在于分析文件本身，反编译后程序代码所调用的win32 API函数情况（特征组合、 ...

学习了

hj5abc

为什么要探讨这种问题，说得清吗，有多少是资深研究者？

The EQs

BD的行为启发才是虚拟机启发。。。。eset的静态启发是用虚拟机推算变种，然后利用特征码进行匹配

搓一把

strawman0719 发表于 2011-9-5 13:52
呵呵  NOD32最多的就是“可能是XXX的变种”
红伞才报gen  

抛砖引玉，班门弄斧了，已说不知对否。谢谢指正。

冷月十一夜

WEI.ER 发表于 2011-9-5 11:43
锁库情况下ESET的好很多，红伞太依赖于病毒库。
ESET的上报速度不是很快，红伞上报反馈的速度就很好。
监 ...

嗯,.....那么，那个360amigo，这么好的一个软件，为什么eset老是报毒？

冷月十一夜

还有360QVM引擎所用的统计学启发，由于有数亿用户作为云的基础，因此是否比红伞和eset的引擎更好？

瓜皮猫

冷月十一夜 发表于 2011-9-5 17:10
嗯,.....那么，那个360amigo，这么好的一个软件，为什么eset老是报毒？

官方解释：
在一个全新的XP系统中，360amigo能扫描出几千个问题（ESET的意思可能是觉得360amigo有点威胁用户的意思）所以报毒。
报毒名称好像是潜在的不安全应用程序或者不受欢迎的应用程序吧。。。
自己要用排除即可。