多引擎真的靠谱吗？

显示全部楼层 · 发表于 2017-10-3 10:13:19

moonsilver 发表于 2017-10-3 02:44
电脑已经十几年没中过毒了，随便装个啥杀软都行

同感

显示全部楼层 · 发表于 2017-10-3 10:14:32

abc277399 发表于 2017-10-3 09:59
然后免杀就容易了一些！

只要专门针对，谁都不是无坚不摧的，你的逻辑是不成立的
既然是免杀，我做出来肯定就是测试到杀软不检出才会放出来，做病毒的也不是傻子

显示全部楼层 · 发表于 2017-10-3 10:18:22

从这次测试来看，360的QVM还是比较靠谱的，毕竟打磨了7年，反而机器学习吹得震天响的cylance各种误报。。。还有SentinelOne这个神奇的厂商。。。是个程序都报。。。

显示全部楼层 · 发表于 2017-10-3 10:56:43

StarlitFuture 发表于 2017-10-3 10:18
从这次测试来看，360的QVM还是比较靠谱的，毕竟打磨了7年，反而机器学习吹得震天响的cylance各种误报。。。 ...

QVM的误报其实并不少见，当然比这些新兴厂商会好不少

显示全部楼层 · 发表于 2017-10-3 12:28:33

B100D1E55 发表于 2017-10-3 10:56
QVM的误报其实并不少见，当然比这些新兴厂商会好不少

大部分的误报其实来自于本地QVM，和其他机器学习引擎相比，云QVM的误报率应该算是比较低的了。另外，QVM对不规范的程序，比如程序里有很多没用的注释或者代码，误报率特别高，大概是因为很多恶意程序通过这种方式免杀的缘故。。。这应该是机器学习引擎的通病吧。。。

显示全部楼层 · 发表于 2017-10-3 12:42:52

本帖最后由 jefffire 于 2017-10-3 12:46 编辑

B100D1E55 发表于 2017-10-3 01:01
赞同。话说回来，我觉得是不是那些搞表层统计引擎的厂商都不怎么管adversarial case……就算一些隐性特征 ...

别的情况不知道。QVM立项目标之一就是为了对抗免杀，最终来看，学习到了很多免杀带来的特征。

显示全部楼层 · 发表于 2017-10-3 13:16:33

jefffire 发表于 2017-10-3 12:42
别的情况不知道。QVM立项目标之一就是为了对抗免杀，最终来看，学习到了很多免杀带来的特征。

利用免杀特征来判断恶意程序的确是一个不错的思路，就像火绒的‘代码混淆器’启发一样，不过不少小众软件就遭殃了，当初360杀了不少Steam上的独立游戏，毕竟不规范的编程或者为了维护自身权益而对程序进行加壳和加密也很容易被误判为免杀特征

显示全部楼层 · 发表于 2017-10-3 13:22:34

本帖最后由 B100D1E55 于 2017-10-3 13:31 编辑

StarlitFuture 发表于 2017-10-3 12:28
大部分的误报其实来自于本地QVM，和其他机器学习引擎相比，云QVM的误报率应该算是比较低的了。另外，QVM ...

什么叫“不规范的编程”？注释根本不会被转译为机器码，而所谓“规范”更多是编译器、壳产生的问题。程序员代码风格、逻辑和这种“规范”毫无关联，正常渠道编译且不存在恶意行为的就不应当被报毒。要求更严格的话，就算加壳加混淆（正规软件也经常用这种方法来保护知识产权），如果没有恶意行为也不应当报毒。而且这也不是机器学习引擎的通病，而是基于统计的引擎的通病，因为他们根本就没有脱壳看行为的能力，因此才会被二进制文件毫无意义的杂讯所蒙蔽

显示全部楼层 · 发表于 2017-10-3 13:28:46

jefffire 发表于 2017-10-3 12:42
别的情况不知道。QVM立项目标之一就是为了对抗免杀，最终来看，学习到了很多免杀带来的特征。

QVM似乎门类越来越细了，早年就是QVM+数字，现在单个数字还有好多子类的样子……

显示全部楼层 · 发表于 2017-10-3 13:32:58

md不知道哪来的sb上报我随yr发布的小工具，我应该只传给了少数几个人才对。

现在3A都报了，火绒也报了

你tm上报样本就算了，这完全无毒整个只有几行代码的工具你还打包传，我也是日了狗了

[讨论] 多引擎真的靠谱吗？

评分