Dr.Web Katana - 免费3个月

显示全部楼层 · 发表于 2016-1-16 10:55:47

驭龙发表于 2016-1-16 10:43
双击以后是通过DPD内存行为识别，接近于样本自身的行为来判断威胁，而扫描是特征识别

这应该还是特征码检测吧？
跟行为并无太大关系

显示全部楼层 · 发表于 2016-1-16 11:06:52

nick20010117 发表于 2016-1-16 10:55
这应该还是特征码检测吧？
跟行为并无太大关系

这样说吧，样本是带伪装的，而DrWeb Process Dump技术，是在样本进入内存以后，放弃伪装露出本身行为和特征的时候，通过特征和行为来识别放弃伪装的威胁，虽然也用了特征，但与静态扫描是不同的，毕竟Dump本身就是调用和调试的，当然这种行为跟行为分析还是有一点区别的

显示全部楼层 · 发表于 2016-1-16 11:36:27

驭龙发表于 2016-1-16 11:06
这样说吧，样本是带伪装的，而DrWeb Process Dump技术，是在样本进入内存以后，放弃伪装露出本身行为和特 ...

但是蜘蛛扫描不杀的，双击DPD好像也基本不会杀啊
DPD跟eset的高级内存扫描应该是差不多的，但是eset经常遇到扫描不杀，双击内存杀的
这是怎么回事

显示全部楼层 · 发表于 2016-1-16 11:43:21

nick20010117 发表于 2016-1-16 11:36
但是蜘蛛扫描不杀的，双击DPD好像也基本不会杀啊
DPD跟eset的高级内存扫描应该是差不多的，但是eset经常 ...

因为DrWeb的引擎拆包很强，静态扫描发现不了，就基本上是特征过DrWeb了，因此DPD的特征和行为也有可能会被过，毕竟DPD不是主防，DPH才是杀未知威胁的，在我看来DPD跟内存扫描差不多

显示全部楼层 · 发表于 2016-1-16 12:06:43

驭龙发表于 2016-1-16 11:43
因为DrWeb的引擎拆包很强，静态扫描发现不了，就基本上是特征过DrWeb了，因此DPD的特征和行为也有可能会 ...

感谢解答

[分享] Dr.Web Katana - 免费3个月