关于红伞启发，有日志有真相

z13667152750

随便选了卡饭测试区红伞的8月8号到8月15号扫描日志，除了常规特征码就只有报gen的，没看到一个红伞报heur的（并且测试者还是设置的高启发）

红伞测试页面：http://bbs.kafan.cn/thread-1341683-1-1.html

红伞所谓的优秀静态启发其实就是基因码，也就是报gen的，至少我从来没看到过红伞报heur的情况

为什么gen不是启发？我很搞不懂

萧逆水

我也覺得是有的。。。不然那麽小的毒庫哪來那麽高的檢出率。。。現在也沒找到數字OEM不報而紅傘靠啟發才報的樣本。。。

hx1997

... Gen 本来就不是启发... 红伞的启发是带 HEUR 的，一般是 HEUR/Crypted 或 HEUR/Malware。

jefffire

链接是avast的

萧逆水

hx1997 发表于 2012-8-16 00:26... Gen 本来就不是启发... 红伞的启发是带 HEUR 的，一般是 HEUR/Crypted 或 HEUR/Malware。

能給出你說的一般報這倆名字的樣本麽？

z13667152750

jefffire 发表于 2012-8-16 00:27
链接是avast的

日志是avira的...

z13667152750

hx1997 发表于 2012-8-16 00:26
... Gen 本来就不是启发... 红伞的启发是带 HEUR 的，一般是 HEUR/Crypted 或 HEUR/Malware。

我不这样认为，红伞厉害的是静态启发，平时测试也可以看到报heur的情况极少，gen也可以算作启发的一种

jefffire

hx1997 发表于 2012-8-16 00:26
... Gen 本来就不是启发... 红伞的启发是带 HEUR 的，一般是 HEUR/Crypted 或 HEUR/Malware。

要注意到这样一个事实，大家常说的红伞启发厉害其实指的是gen。

从严格启发意义来说红伞的启发只包括AHeAD heuristics  也就是你说的HEUR/Crypted 或 HEUR/Malware 但实际上这两个几乎不出现。

根据红伞官方资料这两者是报壳和报结构异常  和传统意义的启发有较大出入
http://www.avira.com/nl/support- ... n/tid/2704/tlang/nl
HEUR/Crypted in particular signals files that have a suspicious structure of the program. Usually such files are protected by encryption mechanisms and are often manipulated afterwards to hide the real functionality.

http://www.avira.com/en/support- ... n/tid/2703/tlang/en
HEUR/Malware in particular is reported when a program seems to contain suspicious functionality.

hx1997

z13667152750 发表于 2012-8-16 00:30
我不这样认为，红伞厉害的是静态启发，平时测试也可以看到报heur的情况极少，gen也可以算作启发的一种

你试试把红伞设置里的 AHeAD 启发式关闭，看看还会不会报 Gen，我也没试过。

hx1997

萧逆水 发表于 2012-8-16 00:30
能給出你說的一般報這倆名字的樣本麽？

又一个拿样本质疑的，稍后上样本。360 区能发样本吗？