Samples

显示全部楼层 · 发表于 2018-8-13 14:59:19

191196846 发表于 2018-8-13 14:31
额……打错

有时间 improve下UI

好的感谢您的建议我们以后会再提高一下~

显示全部楼层 · 发表于 2018-8-13 20:16:11

本帖最后由 B100D1E55 于 2018-8-13 20:35 编辑

BeatTrojan 发表于 2018-8-13 12:51
1. 什么是表层，深层引擎？表层和深层的分界线是什么?

比如识别人脸，光看额头肯定不行，如果只提取额 ...

我对ML引擎了解仍然有限，所以下述观点有错恳请指正

1. 表层和深层：类似警察抓小偷的时候是看小偷长得猥琐就杀还是看小偷有偷东西打算了再杀

比如我将一个病毒代码加密隐写到资源文件里，我还可以用一些技巧让其不出现异常熵值的情况（当然仅靠熵这种东西太naive，只是打个比方）。而运行时候先对资源文件进行解密然后执行(injector或者dropper都行）。这时候不执行看到的顶多是解密路径和执行路径，而CPU虚拟机仿真的时候能直接看到实际恶意行为。这点在之前我自己写低级kryptik样本的时候就发现，CPU虚拟机可以轻松对付这类样本且报毒名不变，而一些静态ML则立马被过，传VT数小时之后才开始拉黑。当然要说我的样本落入模型的outlier也行吧
国内无聊黑产中的sfx系列也是一个例子，脚本小子搞个改密码的bat sfx压缩一下然后换个PE图标。不知道这时候不虚拟执行不解包的前提下怎么检测出压缩过的payload是恶意。总不能直接提取sfx的那段运行bat的特征或者图标异常特征吧？

2. CPU虚拟机不好绕过而AI很好绕过

CPU虚拟机当然不难绕过，我这种水平的随便搞搞就能绕过一系列劣质虚拟机引擎，但这是没被针对性补漏的前提下。CPU虚拟仿真永远是擦屁股的攻防，先看到有某种恶意利用再去封堵和针对性处理。应该说免杀CPU虚拟机和静态ML引擎思路不一样，不过虚拟机的一些针对性补漏操作逻辑上是比较直观的，不知道NGAV ML引擎遇到这种情况补漏的麻烦程度如何？毕竟我一直对Cylance在CCleaner那时候靠拉黑了事的那件事情上耿耿于怀。有人曾经表示通过在恶意程序中嵌入白资源/白资源嵌入恶意代码也能躲避统计查杀，不知道是否真的如此？

3. 大厂都有ML，而智量无知者无畏

从来没说智量无知者无畏。ML引擎只是一个泛概念，具体实现会对检出精确度产生很大影响，否则data scientist日子太好过了。只不过从VT上一众ML引擎的误报来看他们距离传统特征码查杀的误报仍有明显的一段距离（有一些还死要面子，ML被绕过了后续拉黑还硬撑着脸皮用ML报法，改个MD5又过了）。这种手段面对实际复杂环境可能会出现各种问题，企业有专人排除还好，个人端我觉得挑战会更大。真要说这也是没法避免的，但衷心希望智量这点能做的更好，至少针对国区软件环境来说。

显示全部楼层 · 发表于 2018-8-13 20:46:33

囧，两个样本数字国际版都云拉黑了，修改md5后
0809-0里面的0号样本，运行后主防拦截

1号样本会被QVM引擎再度检出

0809-1里面的样本运行后会被主防拦截

显示全部楼层 · 发表于 2018-8-13 21:23:36

B100D1E55 发表于 2018-8-13 20:16
我对ML引擎了解仍然有限，所以下述观点有错恳请指正

1. 表层和深层：类似警察抓小偷的时候是看小偷长 ...

我感觉你理解得挺深的,指正不敢当

1. 不是很赞同你的比喻，你的比喻把ML看得有点太low了。我宁愿比喻成ML是看到头上戴了个丝袜的人进了银行，而CPU虚拟机一定要看到这个人开始抢钱.

2. 其实最开始你的论点是两个，1是CPU虚拟机提取的是病毒行为，所以病毒作者很难绕过, 而ML直接通过混淆即可绕过。2是ML很难处理误报问题。这两点我前面都有一些浅见。

但是你现在的观点是要用ML处理一切问题（比如你提到的内存检测问题，SFX问题)。但是ML和行为检测又不冲突的，Cylance, Endgame这些都有主防。你在VT看到的只是它们的静态检测而已. 对于智量而言，现在只是开始，我们会逐步完善防护矩阵，解决你提到的问题。实际上在有AI加持的情况下，你提到的这些问题会更加容易解决.

CPU虚拟机，行为分析, 静态ML这些技术都有它们存在的道理。ML存在的问题你已经看见了, 前两者的问题:CPU虚拟机的局限性比较大,无法真正做到仿真实际操作系统。而行为分析的问题在于需要用户实际双击，而双击后什么都可能发生了，比如先把用户的数据文件上传后再注入什么的，等拦截的时候数据已经泄露了. 在现在恶意程序指数级增长的情况下，AI作为第一道防线还是很有现实基础的, 当然前路任重道远。

感谢你对智量的建议和期待.

显示全部楼层 · 发表于 2018-8-13 21:50:48

本帖最后由 B100D1E55 于 2018-8-13 22:01 编辑

BeatTrojan 发表于 2018-8-13 21:23
我感觉你理解得挺深的,指正不敢当

1. 不是很赞同你的比喻，你的比喻把ML看得有点太low了。我宁 ...

嗯是的，对于大多情况来说如果模型设计得好恶意特征区分度会很明显、提取会很精准，就是你说的“戴丝袜的进了银行”，这种基本只可能是恶人。VT上有一些劣质ML引擎则非常放飞自我，基本上是“看到猥琐的都杀”，比如gcc编译的hello world（这大概连猥琐都不算）都会报毒。当然我知道一些ML引擎搓不代表做的好的ML引擎也这么回事，其实我也想知道那些ML引擎误报高究竟是技术本身局限还是他们的水平仍旧有待提高，毕竟我不是这个专业的
CPU仿真也有类似的“头戴丝袜”查杀，比如混淆器检测之类的，不过一般来说他们特征提取区分度比较高，误报很少（广谱度则差一些）。CPU仿真免杀和反免杀整个体系这么多年下来已经比较成熟了，但我觉得ML攻防仍旧处于初级阶段，所以我也很想看到未来当这些技术普及后真正的激烈攻防开始时这些技术仍否能经得起考验。现阶段staticML效果的确是出人意料得好，而且把查杀率做起来成本比拉黑系CPU仿真来得低。很多新毒初期都只被staticML检测出来，但是staticML相对比较高的误报也让这些鉴定结果少了一些参考价值。我个人比较反感一些厂商将这种手段宣传得神乎其神，混淆AI和ML的概念之类的做法

对的，每个检测手段都有其局限和弱点，因此一些靠仿真吃饭的厂商实际上云端也部署了static ML检测，只不过现阶段为了可控性暂时没有放在客户端。其实我一直相信未来的趋势肯定是多种检测技术结合，也期待看到智量防御体系成熟完善的那天吧

显示全部楼层 · 发表于 2018-8-13 22:13:30

B100D1E55 发表于 2018-8-13 21:50
嗯是的，对于大多情况来说如果模型设计得好恶意特征区分度会很明显、提取会很精准，就是你说的“戴丝袜的 ...

是，我记得报hello world这个事情当时闹得挺大的，好多NGAV厂商都出来做了解释。这个确实也暴露出了一些问题，主要是因为wild类似于hello world 这种样本的基本都是黑样本。白样本谁会发这种东西出来给大家用呢? 当然都不是理由，必须持续更好。

很多厂商用AI宣传也是没办法，毕竟大众都知道AI, 很少有人知道ML。但是确实被有些人玩坏了，搞得很多人真以为AI会毁灭世界了.

显示全部楼层 · 发表于 2018-8-15 10:59:44

B100D1E55 发表于 2018-8-13 11:45
我也希望他们能进一步提高响应速度，不过鉴定精度和速度很多情况下难以兼得……因此客户快速响应还需要其 ...

请拍大力些，最好多拍几次

[病毒样本] Samples

评分