【已更新内容】New detection module AGEN（新检测模块）

大神F4

欧阳宣 发表于 2018-3-7 00:56
我理解成缩小特征库是为了把原有特征库放到云端了，只是猜测。

如果成了启发式那如此多的暴力入库的TR ...

启发牛一点不好吗？

飞碟1234

欧阳宣 发表于 2018-3-8 03:49
缩减本地库又不放云端，那放哪
不是带cloud的才是云报法，需要手动进日志查看有没有连接云查杀的服务器
...

我的意思是，缩减本地库不是单纯的把本地库的东西往云端放。而是过去的几条特征码才能扫出的几个样本，现在通过进一步的归类，可能只要一条特征码就能报了，这样不也算是变相的在精简嘛

换句话说，我觉得红伞这次是像卡巴那样精简特征库，然后争取用尽量少的特征码来报出更多的样本不造我解释清楚没

桑德尔

飞碟1234 发表于 2018-3-8 09:40
我的意思是，缩减本地库不是单纯的把本地库的东西往云端放。而是过去的几条特征码才能扫出的几个样本， ...

你的感觉像是ESET的1条特征通杀变种的意思，但是这种方式似乎引擎也得改才行吧

飞碟1234

桑德尔 发表于 2018-3-8 09:42
你的感觉像是ESET的1条特征通杀变种的意思，但是这种方式似乎引擎也得改才行吧

对，有点这方面的意思。而且启发出色的这几家基本都有一条特征码查杀一串的现象。我觉得改动引擎的可能性不大。因为这种特征码的收集与提取之前红伞就在做，只是可能现在把特征提取工作进一步细化，过去可能提取10个特征点，现在提取15个，过去可能只在文件头提取特征点，现在提取的位置可能进一步扩大。这些进步应该不会是对引擎大刀阔斧的修改，只是小步快跑的形式进行。

欧阳宣

大神F4 发表于 2018-3-8 09:37
启发牛一点不好吗？

当然好，但是启发定义的编写永远基于对旧病毒的归纳总结，所以对新病毒的反应永远有限

欧阳宣

飞碟1234 发表于 2018-3-8 09:47
对，有点这方面的意思。而且启发出色的这几家基本都有一条特征码查杀一串的现象。我觉得改动引擎的可能性 ...

但是一旦本地入库之后报法又变成了老的形式，或许这还不是AGEN的最终形式。今天又发邮件说AGEN有了一点变化，回去看看