360为何面对白加黑已无需拉黑、不怕免杀、无需联动？？？本小白来试着解读，，，，

显示全部楼层 · 发表于 2012-4-20 22:53:29

szwjn 发表于 2012-4-20 22:49
分析的很透彻，赞一把！

结论是自己推测总结所得，还是逆向得真知？

推测。

。逆向没那个水水。

显示全部楼层 · 发表于 2012-4-20 23:43:29

z13667152750 发表于 2012-4-20 12:37
只是改主页?

其实我一直认为这种云端交互可能会受到网络延时或者本地云缓存的影响.......

用手机联网的情况下，360sd能连接网络，但杀毒时，云QVM无法及时响应（即失效）。

实测

显示全部楼层 · 发表于 2012-4-20 23:44:31

szwjn 发表于 2012-4-20 23:43
用手机联网的情况下，360sd能连接网络，但杀毒时，云QVM无法及时响应（即失效）。

实测

我也试过让笔记本使用手机网络测试360卫士

电信3G

显示全部楼层 · 发表于 2012-4-21 22:18:58

本帖最后由 jefffire 于 2012-4-21 22:21 编辑

云端策略方法还是很多的。对于白加黑样本，黑dll可以免杀的很好，白文件自然也没有问题。但是其白文件所处的环境是有问题的，只要分析正常情况下白文件的周边环境，如：目录下有多少文件，都是些什么文件，然后编纂出一个数据库，把白文件之间的位置和逻辑等关联关系分析透彻，很容易就能对比出白加黑的异常之处。这样就算有新的白利用文件出现，也很容易检出。

显示全部楼层 · 发表于 2012-4-21 22:24:20

jefffire 发表于 2012-4-21 22:18
云端策略方法还是很多的。对于白加黑样本，黑dll可以免杀的很好，白文件自然也没有问题。但是其白文件所处的 ...

多谢捧场。

显示全部楼层 · 发表于 2012-4-21 22:27:59

guidanba 发表于 2012-4-21 22:24
多谢捧场。

还有个傻瓜办法是，先对本地文件做一个白缓存，对于白缓存内的就不拦截dll加载，对于白缓存外的新文件拦截灰色dll加载。既可以避免影响性能，还能从根本上封死白加黑。

显示全部楼层 · 发表于 2012-4-21 22:37:54

本帖最后由 z13667152750 于 2012-4-21 22:42 编辑

jefffire 发表于 2012-4-21 22:27
还有个傻瓜办法是，先对本地文件做一个白缓存，对于白缓存内的就不拦截dll加载，对于白缓存外的新文件拦截 ...

其实360使用的是你44楼提到的类似方法,只是实现上还是有一些区别

拦截灰dll的话,得超大的dll白名单呀.....
而且如何定义白缓存也是个问题,很多意想不到的大范围被使用的软件都被利用了.....

显示全部楼层 · 发表于 2012-4-21 22:40:09

jefffire 发表于 2012-4-21 22:27
还有个傻瓜办法是，先对本地文件做一个白缓存，对于白缓存内的就不拦截dll加载，对于白缓存外的新文件拦截 ...

我倒认为这个主要能降低误报。

显示全部楼层 · 发表于 2012-4-21 22:40:31

z13667152750 发表于 2012-4-21 22:37
其实360使用的是你44楼提到的类似方法,只是实现上还是有一些区别

拦截灰dll的话,得超大的dll白名单呀 ...

也对。

显示全部楼层 · 发表于 2012-4-21 22:41:52

占楼支持楼主分析

[砖头] 360为何面对白加黑已无需拉黑、不怕免杀、无需联动？？？本小白来试着解读，，，，