沙箱针对性逃逸对策

显示全部楼层 · 发表于 2018-6-13 11:53:59

B100D1E55 发表于 2018-6-13 11:15
结果补充（6月12日更新）——之所以不直接编辑原帖是因为防止二次被吞……

首先是一个坏消息：和vmray估 ...

搞得又想用ESET了……

But... 伞伞我没理由放弃吧

要不然你来一个揭底APC，那我就有理由了

显示全部楼层 · 发表于 2018-6-13 12:01:20

ccboxes 发表于 2018-6-13 11:53
这种拉黑式的入库思路都差不多，BD的Trojan.GenericKD.XXXXXXXX也一样，也是自动机提取的，应该是为了考 ...

感觉GenericKD会不会是静态拉黑特征……

显示全部楼层 · 发表于 2018-6-13 12:03:10

191196846 发表于 2018-6-13 11:53
搞得又想用ESET了……

But... 伞伞我没理由放弃吧

我可以思考一下怎么测，不过静态找判毒依据比较蛋疼，我可以挑个时间折腾一下。近期不可能，因为又要开始忙正事了

显示全部楼层 · 发表于 2018-6-13 12:04:06

B100D1E55 发表于 2018-6-13 12:01
感觉GenericKD会不会是静态拉黑特征……

很有可能是模糊Hash，我一直在等BD把这部分移到云上去。

显示全部楼层 · 发表于 2018-6-13 12:04:35

wangkaka 发表于 2018-6-13 11:49
eset真的很特殊。。这个dna行为特征太巧妙了。不过这种监控api的行为特征会不会区分度不够？应该还有其他 ...

从我测的这个情况来看应该能保证较好的区分度……除非有人抄我作业

显示全部楼层 · 发表于 2018-6-13 12:05:14

驭龙发表于 2018-6-13 11:43
所以我过几天也回归ESET了，当然不完全是因为你的测试，而是我也觉得ESET不错，最重要的是用着舒服，也很 ...

估计不久就要出新版了吧

显示全部楼层 · 发表于 2018-6-13 12:06:49

ccboxes 发表于 2018-6-13 12:04
很有可能是模糊Hash，我一直在等BD把这部分移到云上去。

嗯，否则BD那更新……不过BD还算扎实，之前测的情况来看大部分样本都定期整理了，不像一些厂商自从有了云就放飞了自我

显示全部楼层 · 发表于 2018-6-13 12:08:35

B100D1E55 发表于 2018-6-13 12:05
估计不久就要出新版了吧

是啊，上次官方就说11.2工程不小，说不定在搞本地ML的模块，也不是没可能，毕竟本地有ML模块才能把更多的未知可疑东西反馈给ESET的云，这响应速度一定很快

显示全部楼层 · 发表于 2018-6-13 12:11:48

B100D1E55 发表于 2018-6-13 12:04
从我测的这个情况来看应该能保证较好的区分度……除非有人抄我作业

我相信大佬你编写的那些运用eset报毒api但本身无毒的文件，在eset报毒后，vt厂商会依次跟进的。。。。

显示全部楼层 · 发表于 2018-6-13 12:13:30

B100D1E55 发表于 2018-6-13 12:06
嗯，否则BD那更新……不过BD还算扎实，之前测的情况来看大部分样本都定期整理了，不像一些厂商自从有了云 ...

还是希望能更新引擎架构，19Beta应该快了。16年大整理过一次，好不容易把毒库压缩到700万，现在又奔8位数去了，终究不是长久之计。

BD对新病毒就靠ATD了，所幸效果一向很好，只要能像卡巴一样把误报压住就行了。

[讨论] 沙箱针对性逃逸对策