【缉毒卫队测试包】第68期 20201129

sunwei_8

【测试类型】：
①安软扫描；
【测试环境】
①联网；
②win10
【测试工具版本】：
①测试工具名称 及其 主程序版本：卡巴斯基安全软件2021 MR2
②病毒库版本：最新
【测试配置】：默认配置（因杀软设置栏而异）
【测试结果】：
安软扫描情况： 55/65= 84.6%
剩余10个样本参与防御双击测试。

swizzer

computero 发表于 2020-11-29 16:19
这个包智量报了好多PE.A，怀疑真实性

那么我反问一句，什么是真实？

PE.A对应着的是一个静态侦测模型，一个模型覆盖大量样本，我不认为这不真实。

况且智量最多只到PE.E(or PE.F)任何一种报法势必都要覆盖很多样本的。

computero

swizzer 发表于 2020-11-30 00:29
那么我反问一句，什么是真实？

PE.A对应着的是一个静态侦测模型，一个模型覆盖大量样本，我不认为这不 ...

PE.A对应着的是一个静态侦测模型,这是谁告诉你的？有经过证实吗？

swizzer

computero 发表于 2020-11-30 12:48
PE.A对应着的是一个静态侦测模型,这是谁告诉你的？有经过证实吗？

哈哈哈，我问你，什么静态侦测（除了hash拉黑）对应的不是一个模型？

就算是传统特征本质上也是一个个覆盖面比较小的模型，hash拉黑本质上也是一种静态模型，只是过于专一。
所以什么叫不真实，你来说说？
更何况我测试时一直都是锁库的，已经规避开蹲点拉黑的可能。


-------------------------------------------------

回到我们的问题。第一，单纯的对文件overlay，PE.A报法不会变。说明这不是hash拉黑。

第二，对文件重新混淆，大部分仍然保持PE.A报法，说明这不是传统二进制特征。

第三，PE.A报法的衰减曲线明显慢于Avast等厂商，也可证实并非传统特征。

第四，我测试时锁库，同样PE.A报法占了一半以上。

如果你仍然怀疑，那么请给出你的证据，谢谢。敝人最看不惯信口开河、有问题不自己求证而是一味主观臆断或要求他人解释的人。

computero

swizzer 发表于 2020-11-30 12:54
哈哈哈，我问你，什么静态侦测（除了hash拉黑）对应的不是一个模型？

就算是传统特征本质上也是一个个 ...

这么多PE.A谁不怀疑，诺顿有机器学习，都没这么多

swizzer

computero 发表于 2020-11-30 12:55
这么多PE.A谁不怀疑，诺顿有机器学习，都没这么多

诺顿只有三个机器学习报法。

Cylance只有一个报法，Unsafe。

机器学习的初衷不就是用最低的成本实现合理误报区间内的最高侦测率吗？

真正应该怀疑的是智量出现大量Trojan.Generic报法的时候。

computero

swizzer 发表于 2020-11-30 12:58
诺顿只有三个机器学习报法。

Cylance只有一个报法，Unsafe。

BD不就是吗？Trojan.Generic.6544897，后面加几个数字

swizzer

computero 发表于 2020-11-30 13:08
BD不就是吗？Trojan.Generic.6544897，后面加几个数字

那是传统的聚类特征，介于机器学习和二进制特征之间。

BD真正的机器学习报法应该是
Gen:Illusion.XXXXX
Gen:NN.Zexa.XXXXX
------------------------------

况且，如果我在呈现给用户的时候抹掉那些数字，你看到的不就一样了吗？

所以仅凭这一点是无法区分传统特征、机器学习与简单拉黑的。

比如，360的hash紧急拉黑=Trojan.Generic（仅此一种报法）
智量的传统特征=Trojan.Generic（大部分是这个报法）
Avast的传统特征=Win32:Malware-Gen（大部分是这个报法）
Avast的机器学习=
动态上（DeepScreen）：DS#EvoGen||algo（绝大部分是这个报法）
静态上：Win32:EvoGen（仅此一种报法）

各自都是基本上只有一种报法。

你能分开吗？