ESET云端Augur引擎的新检测机制

B100D1E55

8月底ESET再次更新了AI相关白皮书，标题是“AI能否驱动未来的恶意软件”，讨论了AI被应用在恶意攻击的一些可能情况。比较有意思的是文中进一步披露了一些关于Augur引擎的细节：

Augur引擎主要由两个类别算法支撑，一个是深度学习（LSTM）和全连接网络，另一个是一个多模型的监督学习算法集合，包括向量机、决策树等等
ESET认为综合多种分拣算法有利于加强Augur对“对抗样本”的抗性（参考：https://arxiv.org/abs/1712.03141）

Augur样本处理流程：ESET的扫描引擎会对样本进行仿真并提取一系列特征和序列。随后DNA分析会将这些信息处理并输出为特征向量，这被称作xDNA。这些信息会输入到Augur模型中进行评估。值得一提的是近期Augur系统增加了另一个新的分拣子系统：


从描述来看是表层二进制引擎（见上图左侧新增部分）。在这个系统中样本会先被反汇编后进行特征提取，输出的结果会被输入神经网络进行评估。所有的子系统都会生成一个独立的置信度数值，进一步综合为最终分数并将样本标记为无害/PUA/恶意。

（注释：这应该就符合之前EDTD介绍中提到的三套引擎，包括静态检测、DNA检测+神经网络、DNA检测+6个分拣模型，然后还有EDTD额外的沙箱分析）

为了展现Augur在真实世界中的侦测能力，ESET提供了一组数据：他们使用2017年1月的Augur模型来检测几大类后来爆发的家族：WannaCryptor.D(2017年5月12日入库)，Diskcoder.C(2017年6月27日入库，也称为Not Petya)，Diskcoder.D(2017年10月24日入库，也被称为坏兔子)，Crysis（攻击大中小企业常见的勒索病毒家族）

恶意家族	样本数量	Augur检出数量	检出率
Diskcoder.C	16	10	62.5
Diskcoder.C (内存检测)	86	85	98.8
Diskcoder.D	17	14	82.4
Diskcoder.D (内存检测)	20	20	100
Filecoder.Crysis	113	112	99.1
Filecoder.Crysis (内存检测)	30	30	100
WannaCryptor.D	15	13	86.7
WannaCryptor.D (内存检测)	67	67	100

这些结果显示在这些恶意程序出现前数个月的Augur模型就对这些新样本有很高的检测率。特别是就算一些样本在非执行的时候绕过了Augur侦测机制，执行后在内存内也能以极高概率被检测出来。当然Augur只是整个纵深防御的环节之一。

白皮书链接：https://www.welivesecurity.com/w ... _Future_Malware.pdf

个人感想：可能有人觉得奇怪：既然17年1月的模型就能检测出wannacry，为什么当时5月爆发的时候第一时间客户端没有检出？
关于这点可以把黑客和AV厂商的博弈看作猜拳，本地引擎的查杀就好比AV厂商先出手，而此时黑客自然就懂得出什么对应的招才能胜利。因此公平的博弈则是双方同时出招，这就需要靠云端完成。在实际操作中，黑客在不知道杀软云端能不能侦测的前提下先出招，而杀软云端捕获了样本后同时出招（这是一个公平的博弈，因为杀软的自动系统当时并不知道捕获的样本哪些是恶意的哪些不是），从而有一个较为公平的对抗。这也是为什么当今杀软云端查杀是如此的重要。免杀本地客户端的意义变小了，因为只要云端模型足够强大、响应速度够快，在新毒扩散开来之前就能被及时遏止住。

飞碟1234

只好奇这是个人版还是企业版

renyifei

飞碟1234 发表于 2018-9-7 12:58
只好奇这是个人版还是企业版

augur是ESET的机器学习技术，个人企业版都有的

renyifei

简单看了一下，和之前的白皮书相差不多，有些部分可以跳过

而我到底是谁

renyifei 发表于 2018-9-7 13:13
简单看了一下，和之前的白皮书相差不多，有些部分可以跳过

楼主第一句话

8月底ESET再次更新了AI相关白皮书

，是更新了，不是发布了新的。

B100D1E55

飞碟1234 发表于 2018-9-7 12:58
只好奇这是个人版还是企业版

这个就是LiveGrid上面那个机器学习引擎，所以所有产品都有更新。不过这种侦测率的改进不容易直观感觉到

B100D1E55

renyifei 发表于 2018-9-7 13:13
简单看了一下，和之前的白皮书相差不多，有些部分可以跳过

所以我只挑了比较值得提及的部分贴上来

Picca

给的测试样本数量较少，而且都是勒索，没backdoor、rat一类的。感觉除开沙箱内存检测的Augur并不能算很强，毕竟是给企业防针对性攻击的。像大大的那篇沙箱逃逸文章，不知道eset的这个沙箱短板控制的如何，和其它家的企业沙箱比有什么特别地方，比如某KATA

歌德塔大蜘蛛

最后一句是重点

只要云端模型足够强大、响应速度够快，在新毒扩散开来之前就能被及时遏止住

christina7358

学习ing