ESET吹的挺好，但下次不要吹了，你的行为分析好像也一般【DBI白皮书揭秘HIPS体系】

多变的风向

还不如FSP和麦咖啡得行为防护 太垃圾了

驭龙

多变的风向 发表于 2024-12-30 19:05
还不如FSP和麦咖啡得行为防护 太垃圾了

是我看错了？之前在手机上看是还以为SEP，现在才发现说的是FSP

怎么可能比得上SEP的SONAR啊，人家是仅次于atc的顶级主防

多变的风向

驭龙 发表于 2024-12-30 19:12
笑死我了，怎么可能比得上SEP的SONAR啊，人家是仅次于atc的顶级主防

我以前以为他这个行为防护应该是和那种单步得主防差不多 不需要用户参与 自动拦截的

ジ蓅暒划过づ

怎么看着这牛吹得比bd的第一主防还高级很多

kaba777

我以前也有过类似的想法，在宿主系统装vmware tools，假装这是虚拟环境后来发现正常使用电脑根本碰不到病毒，就放弃了。现在我还是觉得这个方法对某些病毒可能真的有效，不过我能想到的问题有两个，一个是这个方法只是对病毒的执行策略，方法本身不能区分恶意软件和合法软件，对正常文件可能有误伤，对不能识别虚拟环境的病毒也没有效果，另一个是这个方法看起来是在其他模块分析后再进行的？也就是说，eset要等病毒在宿主系统执行操作之后，先回滚操作，然后用虚假的虚拟环境欺骗病毒？（如果是在病毒运行过程中创造虚拟环境，病毒很可能不会检测到环境变化吧）建议直接学comodo自带沙箱，遇到可疑直接入沙

驭龙

kaba777 发表于 2024-12-30 20:34
我以前也有过类似的想法，在宿主系统装vmware tools，假装这是虚拟环境后来发现正常使用电脑根本碰不 ...

另一个是这个方法看起来是在其他模块分析后再进行的？也就是说，eset要等病毒在宿主系统执行操作之后

是在启动过程中就被DBI注入的模块修改，然后让恶意软件自己因为是虚拟环境，自动退出。

换句话说DBI并没有回滚的能力，只不过HIPS的分析是在sandbox环境中进行的，至于是否会自动倒沙，目前是没看过

UNknownOoo

kaba777 发表于 2024-12-30 20:34
我以前也有过类似的想法，在宿主系统装vmware tools，假装这是虚拟环境后来发现正常使用电脑根本碰不 ...

HitmanProAlert 家有类似的技术诶（）

Hibike

我觉得这段话更像是一种补充描述，是在阐述DBI会对恶意样本的行为产生额外的影响，但是这种影响是有益的。并不是说DBI的目的就是这个。

退一步来说，HMPA也有类似的组件，就叫Anti-VM，甚至还分了主动和被动模式（主动模式在检测到Anti-VM行为后直接terminate process，被动模式则是跟ESET这篇白皮书描述的实现方式几乎一致）

驭龙

Hibike 发表于 2024-12-30 22:42
我觉得这段话更像是一种补充描述，是在阐述DBI会对恶意样本的行为产生额外的影响，但是这种影响是有益的。
...

这本就不是干这个的啊，这是附带的功能，DBI在前半部分不是已经介绍是用户层注入的行为分析技术么？

Hibike

驭龙 发表于 2024-12-30 22:44
这本就不是干这个的啊，这是附带的功能，DBI在前半部分不是已经介绍是用户层注入的行为分析技术么？

好不好笑？ESET的行为分析体系没本事分析样本的恶意行为，干脆另辟蹊径，模拟各种虚拟环境，让恶意软件自己退出，以这种的方法预防未知的威胁？

那又是怎么得出上述结论的呢？