动态启发逃逸大法

显示全部楼层 · 发表于 2017-2-5 10:04:05

本帖最后由 B100D1E55 于 2017-2-5 10:21 编辑

天剑发表于 2017-2-5 09:35
任何厂商不会因为这篇文章而改进。如果厂商连这些浅显的道理都不懂就太次了，只是没有找到解决的方法而已 ...

我可没说我这篇文章能让厂商怎么样

这些都两年前的过时技术了，但真要说两年前仅靠这些低级技术已经足以让很多引擎歇菜了不也挺讽刺的。而且顺着这个思路还有其他很多漏洞和fingerprinting技巧可以挖掘，去年还有不少这方面work，这个课题还没过时

只不过某天看到某家在今日还在反复强调本地启发的重要性，贬低云拉黑，所以就适度吐槽一下。你以为厂家就很聪明么，纯粹工程师思维领导下的闭门造车并不少见，不然做研究的炮灰就少很多了，这个时间就可以证明

显示全部楼层 · 发表于 2017-2-5 10:06:42

jefffire 发表于 2017-2-5 09:51
仿真成本太高了。找一个缺点只需几天，补一个缺陷需要几周几个月。

云端分析，对抗起来也不是很难。只要 ...

我觉得进一步发掘本地启发已经非常不实惠了……至于云端问题，反制措施肯定是有的吧。目前我也就看到一些结合Inetsim和Tor的伪装方法，估计还有更好的技巧。。当然能fingerprinting的漏洞也很多

显示全部楼层 · 发表于 2017-2-5 10:27:29

B100D1E55 发表于 2017-2-5 10:04
我可没说我这篇文章能让厂商怎么样这些都两年前的过时技术了，但真要说两年前仅靠这些低级技术 ...

对我个人而言，本地引擎足够了，电脑了也没有很重要的东西，打个比方，一个银行卡余额两位数的人非要用六位数的密码来保护，太浪费了。

显示全部楼层 · 发表于 2017-2-5 10:36:50

天剑发表于 2017-2-5 10:27
对我个人而言，本地引擎足够了，电脑了也没有很重要的东西，打个比方，一个银行卡余额两位数的人非要用六 ...

很多人都这样想的，所以僵尸网络的肉机数量不少啊

显示全部楼层 · 发表于 2017-2-5 10:50:11

B100D1E55 发表于 2017-2-5 10:36
很多人都这样想的，所以僵尸网络的肉机数量不少啊

这个不用怀疑吧，我相信很多潜在的后门是很多杀软都没有发现的。

显示全部楼层 · 发表于 2017-2-5 10:57:33

灭灭之痕发表于 2017-2-3 23:40
动态启发的模拟的环境的确是存在非常大的局限，虽然理论上能够补充静态启发的很多不足，但是实际运行为了考 ...

不用启发，直接运行判定，提取特征即可。按照非白即黑模式，简单粗暴有效——不认识的先阻止了再说，等云端返回放行指令再开闸。
实际上这个比的就是资源占用：杀软厂商靠国家为后盾，征用政府级别才用权使用的超级计算机、量子计算机，及时运行分析一个程序，小菜一碟，关键编写好自动跟踪分析程序，一分钟一亿个毒的分析鉴定随便玩。造毒者喜欢靠手工编毒来对抗超算，让他忙活去

显示全部楼层 · 发表于 2017-2-5 11:00:44

天剑发表于 2017-2-5 10:50
这个不用怀疑吧，我相信很多潜在的后门是很多杀软都没有发现的。

根源出在本身上，这个确实无解。也许，将来某一天，操作系统自己定制或编写，一切也就作古了。

显示全部楼层 · 发表于 2017-2-5 11:00:51

多谢科普

显示全部楼层 · 发表于 2017-2-5 11:05:55

柯林发表于 2017-2-5 11:00
根源出在本身上，这个确实无解。也许，将来某一天，操作系统自己定制或编写，一切也就作古了。

说不定周总，马总，李总的电脑都是肉鸡。。。。

显示全部楼层 · 发表于 2017-2-5 11:06:09

柯林发表于 2017-2-5 10:57
不用启发，直接运行判定，提取特征即可。按照非白即黑模式，简单粗暴有效——不认识的先阻止了再说，等云 ...

滞后用户运行时间的想法是很美好……但是自动机提取的特征广谱性不够的话，自变形恶意程序也可以自动化产生大量新的的恶意程序，十台天河都不够用，用户被挡着不能运行程序只能关掉杀软

金山当年就号称98%都可以快速鉴定，实际上不还是很多转人工

[分享] 动态启发逃逸大法