自认为NOD32所谓虚拟机启发很强的来试试

显示全部楼层 · 发表于 2008-1-30 13:55:27

我可不知道二版还说有行为分析，不过就算他说了，作为一个用nod32这么久的用户，相信你也知道那不过就是二版在吹牛b呢

显示全部楼层 · 发表于 2008-1-30 13:56:33

原帖由 hj5abc 于 2008-1-30 13:55 发表
给cici 一个大前提 ,说完飘走 :

请别把需要运行的测试方法混淆进来

一切讨论前提是" XXX样本是扫描报的 " .

而我们说的观点是 : nod ,bd ,卡巴这类宣称有虚拟机的av 拥有在扫描中完全不靠已知特征的行为启 ...

靠的是广谱特征.呵呵

至于虚拟行为拦截..见都没见过

显示全部楼层 · 发表于 2008-1-30 13:57:00

原帖由 mofunzone 于 2008-1-30 13:55 发表
我可不知道二版还说有行为分析，不过就算他说了，作为一个用nod32这么久的用户，相信你也知道那不过就是二版在吹牛b呢

你没有看见我把二版的回信贴出来了
按他们的意思就是把行为分析和虚拟机当成启发了
我还是在写一封去问问

[ 本帖最后由 woai_jolin 于 2008-1-30 13:58 编辑 ]

显示全部楼层 · 发表于 2008-1-30 13:58:09

问题是，他这个样本是完全没壳的，也就是说不存在虚拟机不能运行的问题，但是原样本虚拟机运行可以差出来，结果现在没壳只靠着改代码反而差不出来了
难道说虚拟机还可代码有关系？
真正的虚拟机是看行为的吧，类似bd的b have
我还真从来没仔细研究过nod32的虚拟机，只是知道很渣就对了，因为只能虚拟拖壳以后的东西，和bd没可比性
现在看来有新的课题可以研究了，等忙过了这一阵的考试就仔细看看

显示全部楼层 · 发表于 2008-1-30 13:58:17

原帖由 mofunzone 于 2008-1-30 13:50 发表
nod32哪里有所谓的虚拟行为分析，不就是有个虚拟机吗？
结果现在看来代码免杀连虚拟机都可以免了？
不知道加壳没有，我如果面nod的虚拟机都是加壳，他运行不起来就飞了
一会看看这个样本怎么改的

怎么总有这很些BS NOD技术的人反到是很热衷于在NOD区中来呢，想不通啊…………;好比一个自认是很帅的“衰哥”家里放着一个娇妻，但他却总爱在一些恐龙面前搔首弄姿的

显示全部楼层 · 发表于 2008-1-30 13:58:19

原帖由 woai_jolin 于 2008-1-30 13:57 发表

你没有看见我把二版的回信贴出来了
按他们的意思就是把行为分析和虚拟机当成启发了

我只知道虚拟机脱壳..

虚拟机行为分析..没见过... 难道是沙盘??哈哈

显示全部楼层 · 发表于 2008-1-30 13:59:31

原帖由 cici584522 于 2008-1-30 13:58 发表

我只知道虚拟机脱壳..

虚拟机行为分析..没见过... 难道是沙盘??哈哈

很明显就是sandbox

真不知道二版是怎麽的

显示全部楼层 · 发表于 2008-1-30 14:00:02

启发本身就包括行为探测和引擎的智能探测
启发的目的是发现未知病毒，行为探测和智能探测都算启发
我是这么认为
不过这有什么关系
二版在吹牛b这是无可否认的

显示全部楼层 · 发表于 2008-1-30 14:00:02

原帖由 billy_xx 于 2008-1-30 13:58 发表

怎么总有这很些BS NOD技术的人反到是很热衷于在NOD区中来呢，想不通啊…………;好比一个自认是很帅的“衰哥”家里放着一个娇妻，但他却总爱在一些恐龙面前搔首弄姿的

这个..你可以搜索下我在多少个区干过...

显示全部楼层 · 发表于 2008-1-30 14:00:06

也就是说 ,

不管是未知的PE病毒或 trojan.generic 或 behaveslike .etc 都是靠广谱来完成.

是这样么?

[原创] 自认为NOD32所谓虚拟机启发很强的来试试

回复 37楼 woai_jolin 的帖子

回复 40楼 hj5abc 的帖子

回复 43楼 woai_jolin 的帖子

回复 42楼 cici584522 的帖子