#PACKAGE 0725

挥泪斩情思

B100D1E55

191196846 发表于 2018-7-25 21:38
不认识的就提示哪

UserDepend

话说你这几期的样本挺不错的，漏过的都虐了ESET后台鉴定

Jerry.Lin

B100D1E55 发表于 2018-7-25 21:45
话说你这几期的样本挺不错的，漏过的都虐了ESET后台鉴定

DTD用得爽么

ELOHIM

B100D1E55 发表于 2018-7-25 21:37
smartscreen应该叫dumbscreen，很多纯粹就是信誉杀

信誉不良或者直接认定是病毒或者新鲜出炉的提示一下用户也未尝不可的。。
其它浏览器的这道防线莫非不也是 dumbscreen吗？

B100D1E55

191196846 发表于 2018-7-25 21:47
DTD用得爽么

非常爽在多次拍砖下他们终于说要增加更generic的勒索检测规则了

B100D1E55

ELOHIM 发表于 2018-7-25 21:51
信誉不良或者直接认定是病毒或者新鲜出炉的提示一下用户也未尝不可的。。
其它浏览器的这道防线 ...

有一点点用，但用处不大……这跟狼来了的故事一样，对于白文件提示太多潜在威胁，那么用户真正遇到黑文件的时候就算提示潜在威胁也会当白文件来运行

ELOHIM

B100D1E55 发表于 2018-7-25 21:57
有一点点用，但用处不大……这跟狼来了的故事一样，对于白文件提示太多潜在威胁，那么用户真正遇到黑文件 ...

可否给一个白文件的网络下载地址，我测试一下IE 11。。

B100D1E55

ELOHIM 发表于 2018-7-25 21:58
可否给一个白文件的网络下载地址，我测试一下IE 11。。

我目前不方便弄。其实自己试验一下就行，比如你用winrar做个自解压程序，或者弄个白程序末尾填0破坏它的hash，然后上传到网络服务器上下载，十有八九smartscreen会提示。可是提示这个有卵用

相比之下红伞就不错，虽然上述这种程序下载下来APC会提示上载，但几十秒鉴定结果下来对用户来说黑白是很明确的，而不是打太极拳说什么“有潜在威胁”

ELOHIM

B100D1E55 发表于 2018-7-25 22:02
我目前不方便弄。其实自己试验一下就行，比如你用winrar做个自解压程序，或者弄个白程序末尾填0破坏它的h ...

好的，我有空测试下。
不过这种wild玩法太多，根本管不过来啊……
既然hash破坏，签名也就无效了，
明眼儿人都不会执行这种文件的，除非破解啊，外{过}{滤}挂啊，绿色啊，猜猜我是谁啊。。

这又转换成对人的智力考验。

B100D1E55

ELOHIM 发表于 2018-7-25 22:09
好的，我有空测试下。
不过这种wild玩法太多，根本管不过来啊……
既然hash破坏，签名也就无效 ...

我个人认为user dependent对普通用户没什么用其实。经常听到“排除到手软”的评论我就知道总有一天那个用户要把真毒也排除掉。
用户对杀软的信任和这点有很大关系，误报太高/提示太多到后面人脑疲劳了就是一路放行，杀软再怎么拉警报也没用。所以还不如真有毒的时候再拉警报管用。我已经算是下小众程序很少的那种了，还能看到smartscreen提示一些已知白程序，可件smartscreen并不那么smart