干吗锁帖呀。只想谈谈看法

显示全部楼层 · 发表于 2008-1-29 22:52:42

还有什么好说的
你都承认你的启发论是错的了

显示全部楼层 · 发表于 2008-1-29 22:53:31

用我这个菜鸟的脑袋，猜到3种可能性：
1.你改的方法导致在nod的虚拟机里运行不起来或者出错；
2.改过后文件的某些特点使nod误认为该程序没必要在虚拟机里运行，所以过，毕竟nod是很讲效率的；
3.nod的高启本来就不报鸽子，因为它的分析器认为这个东东对电脑的破坏程度不够高。

高启是不是真的不报鸽子我也不知道，高手们自己去试啦......

真正的原因，还是高人去和ESET交流交流才能说清
总之，我相信，ESET的高启不是基于特征码的。

[ 本帖最后由 leonfg 于 2008-1-29 22:57 编辑 ]

显示全部楼层 · 发表于 2008-1-29 22:54:54

原帖由 leonfg 于 2008-1-29 22:53 发表
用我这个菜鸟的脑袋，猜到3种可能性：
1.你改的方法导致在nod的虚拟机里运行不起来或者出错；
2.改过后文件的某些特点使nod误认为该程序没必要在虚拟机里运行，所以过，毕竟nod是很讲效率的；
3.nod的高启本来就不 ...

正解.归纳的很好.我很早就要楼主发帖去和ESET的工程师讨论这个问题了
P.S.其实我是只更菜的鸟
P.S.2.鸽子还是报了不少吧

[ 本帖最后由酱小鱼于 2008-1-29 22:56 编辑 ]

显示全部楼层 · 发表于 2008-1-29 22:55:19

你怎么知道虚拟机启发模拟不了鸽子的动作？我看了不少鸽子都是直接报未知的

显示全部楼层 · 发表于 2008-1-29 22:56:40

我飄過

不想再說

显示全部楼层 · 发表于 2008-1-29 22:58:20

反正我知道鸽子在norman的sandbox原形毕露

显示全部楼层 · 发表于 2008-1-29 23:03:44

有想试的可以找我

显示全部楼层 · 发表于 2008-1-29 23:04:13

现在在看125楼那位传的样本

显示全部楼层 · 发表于 2008-1-29 23:07:28

原帖由 EQ2 于 2008-1-29 22:55 发表
你怎么知道虚拟机启发模拟不了鸽子的动作？我看了不少鸽子都是直接报未知的

抛开其他，单单针对楼主这个现象猜想出来的几种可能性。并没有说是对的

显示全部楼层 · 发表于 2008-1-29 23:09:01

125楼那份样本我改好了

因为没装还原系统。所以不好运行

不知道改烂没有。。麻烦你们测试下。

静态扫描查不出的

[原创] 干吗锁帖呀。只想谈谈看法