BD的引擎只靠入库？

显示全部楼层 · 发表于 2016-12-20 22:05:05

大家都知道BD是入库狂魔，但确实很少看见BD引擎有启发的报法的（不知道BD的gen算不算启发）。
如果只靠入库，过BD引擎岂不是很容易？

显示全部楼层 · 发表于 2016-12-20 22:52:01

可否改一下文件md5测试？

显示全部楼层 · 发表于 2016-12-20 23:40:51

首先你说BD引擎启发相当弱是对的.
目前已知跟启发有关的就只有Gen:Heur这个基本不出现的报法。还有一个BHEVE报法更是难得一见。

但对于已入库的样本，BD查杀其变种的能力还是不错的，也就是所谓的基因库。
Gen:Variant就是BD对变种的专用查杀方法。

Trojan.Generic.XXXXXXXX、Trojan.GenericKD.XXXXXXXX、Trojan.GenericIS.XXXXXXXX等是BD云端分析系统对未分类可执行文件样本的自动入库，使用的是自动提取的特征（不是MD5），该方法不会被改MD5等初级手段绕过。

纯粹的MD5拉黑目前只有一种，为BD的云报法Gen.Suspicious.Cloud.1。

对于真正的未知威胁（跟已入库的样本完全没有关系，也没有被云端系统捕获过），BD依靠ATC来防御，引擎基本帮不上啥忙。。。。。。。。。。

显示全部楼层 · 发表于 2016-12-21 02:32:35

BD有启发，只是实在是太弱了以至于根本么有存在感

BD入库也算是比较慢的，云拉黑也不咋地，不造为何老是不用。。
如果仅仅是靠BD的引擎而没有ATC的话，真的是很容易被过的。。

显示全部楼层 · 发表于 2016-12-21 04:21:33

所有Gen: 开头的都算的，只是出现频率确实少

显示全部楼层 · 发表于 2016-12-22 14:47:45

啥引擎都是主要靠入库的

[讨论] BD的引擎只靠入库？