说一下对于WD的云的报毒名的个人理解与体会

540923555

通过在虚拟机双击了一批样本以后，对于Rundas！Plock和cl结尾名称的云报毒的区别，个人逐渐有了一点感性认识

cl结尾：
程序本身并未入库，过右键扫描和文件监控，双击运行过程中会释放或生成已入库的病毒文件。WD将其信息发送到云端进行记录。
别的用户在扫描及监控时，便可共享该信息，得到已知病毒名称后面加一个cl结尾标注。


Rundas！Plock：
程序本身并未入库，过右键扫描和文件监控，双击运行过程中未释放出已知病毒文件，但程序的恶意行为较为明显，WD通过行为判定其属于恶意软件，并将其信息上传到云端进行记录。
别的用户在扫描及监控时，便可共享该信息，得到Rundas！Plock结尾的报毒名。个人猜测Rundas应该是RUN（运行）+DAS（数据采集系统）两个单词的组合

最近又发现了一种新的报毒名，detplock，暂时还没理解他的含义

驭龙

很遗憾，CL和plock的关系，仅仅是推陈出新而已，CL是plock的改进型云，所以自从CL出现以后，plock特征就停止添加新类型了，旧的只是没有放弃而已。

detplock是最早的Dynamic Signature Service报毒名，并不是新的

plock与双击没关系，看来你对MA家族还是没有深度了解

建议你看看http://bbs.kafan.cn/thread-1633371-1-1.html

540923555

驭龙 发表于 2016-11-18 10:24
很遗憾，CL和plock的关系，仅仅是推陈出新而已，CL是plock的下一代云，所以自从CL出现以后，plock特征就停 ...

我说的双击，是这通过用户上报电脑里的程序运行数据到云端，搜集未知病毒的数据

驭龙

540923555 发表于 2016-11-18 10:47
我说的双击，是这通过用户上报电脑里的程序运行数据到云端，搜集未知病毒的数据

不是，不双击也会在遇到未知文件的时候上传，并不需双击，双击是行为遥测技术的云跟踪，之前行为遥测反馈是plock杀，现在plock和CL杀都有

关于行为遥测，建议看这个http://bbs.kafan.cn/thread-1858205-1-1.html

另外未知文件是不需要双击，就会被反馈给云的

540923555

驭龙 发表于 2016-11-18 10:59
不是，不双击也会在遇到未知文件的时候上传，并不需双击，双击是行为遥测技术的云跟踪，之前行为遥测反馈 ...

同意，我主要体会就是行为遥测是plock多，

驭龙

540923555 发表于 2016-11-18 11:12
同意，我主要体会就是行为遥测是plock多，

因为plock杀已经开发完成两年左右，所以出现概率高，而CL才几个月，需要进一步收集行为和数据，大概几个月以后机器学习模块才能完善，那时候才能看到更多的CL

其实在plock之前还有一种!rts的云杀，那个效果就不理想，那时候的云服务器还没有机器学习，自动化分析刚开始，之后的plock才效果越来越好了