3x （低质量）

显示全部楼层 · 发表于 5 天前

驭龙发表于 2025-1-4 21:28
再怎么优先级也不应该一年没有入库，感觉之前就是不认为是威胁？

我发现其实样本区有不少ESET不报的样本，看LiveGrid都是早就有数据的，欸，就是不杀。

显示全部楼层 · 发表于 5 天前

Anmoe 发表于 2025-1-4 21:30
OpenTip
卡巴的UDS是VHO转过去的估计之前也是miss Op上首见是去年7月的最早的检测记录是今年一月份的[ ...

对啊，所以我说这样本很猛，恐怕几天前的卡巴遇到，可能也不好说结果了，不过卡巴的SW有可能防住，ESET这方面太菜

显示全部楼层 · 发表于 5 天前

hansyu 发表于 2025-1-4 21:30
我发现其实样本区有不少ESET不报的样本，看LiveGrid都是早就有数据的，欸，就是不杀。

我也遇到过，而且有的样本还是黄色信誉

显示全部楼层 · 发表于 5 天前

本帖最后由 hansyu 于 2025-1-4 21:40 编辑

驭龙发表于 2025-1-4 21:33
我也遇到过，而且有的样本还是黄色信誉

所以你说ESET没有收集到这个样本，那也不是这样，总不会是都要人工分析过才入库吧。
自动机的话，考虑到ELG的表现，也不太有希望。

显示全部楼层 · 发表于 5 天前

hansyu 发表于 2025-1-4 21:36
所以说你是ESET没有收集到这个样本，那也不是这样，总不会是都要人工分析过才入库吧。
自动机的话，考虑 ...

那这种问题比收集不到样本更加可怕，收集到样本，他们的自动化系统无法识别，也就是说ML部分有缺陷，这比收集不到样本更加不好

显示全部楼层 · 发表于 5 天前

13:28:14.214 0x242c INF aveng asl_ksn_hash: decoded response: detect:TRUE vdcname:VHO:Trojan.Win32.Agentb.lqay vdcconfidence:DETECT vdcdanger:none predetect:FALSE trusted:FALSE p2p:FALSE p2pforced:FALSE aps:FALSE hashstat:FALSE kpsn_pvt:FALSE cloud_sandbox:FALSE

也可能是以前入库后来把特征放到云上了。（猜测而已非专业意见哈）

显示全部楼层 · 发表于 5 天前

本帖最后由 awsl10000次于 2025-1-4 22:24 编辑

驭龙发表于 2025-1-4 21:13
这是啥情况，怎么是UDS呢？这样本不是新的，没想到不单单是ESET被pass了，看来卡巴也是才响应啊，这样本 ...

额，该说不说，老样本卡巴也会有检测放在ksn上的
论坛里的部分几年前的自制样本现在卡巴还是报uds
https://bbs.kafan.cn/thread-2257141-1-1.html
比方说搜索卡饭自制第一个帖子里的样本现在报法就仍然是uds：trojan-ransom.win32.gen.ajep；
这和eset云的思路（能不用云就不用云，云就纯拉黑）是反过来的感觉，
不知道卡巴的技术人员会不会也像mcaros一样认为这么做会增加云端负载

那这种问题比收集不到样本更加可怕，收集到样本，他们的自动化系统无法识别，也就是说ML部分有缺陷，这比收集不到样本更加不好

另，自动机初次分析miss的问题似乎哪家都有，但卡巴可能通过pdm更新特征在miss后的某天突然识别并且拦截样本？eset的dbi感觉就有点难了。比方说前些天pdm突然大范围误报vivo（但除了误报也有报真的恶意软件的可能）

我现在越来越觉得网络安全的最终奥义就是...看运气...

显示全部楼层 · 发表于 5 天前

awsl10000次发表于 2025-1-4 22:15
额，该说不说，老样本卡巴也会有检测放在ksn上的
论坛里的部分几年前的自制样本现在卡巴还是报uds
http ...

大多数时候，卡巴会定期把云UDS转成特征，另外这个样本好像之前卡巴是特征杀的现在才变成UDS，这才是我惊讶的地方

自动机初次分析miss的问题似乎哪家都有，但卡巴可能通过pdm更新特征在miss后的某天突然识别并且拦截样本？eset的dbi感觉就有点难了

所以我在楼主的ESET区帖子中说，没有强力主防的ESET还是差一些，起码U盘传播的威胁，行为特征很明显，一般是过不了强大的行为分析主防的

显示全部楼层 · 发表于 5 天前

awsl10000次发表于 2025-1-4 22:15
额，该说不说，老样本卡巴也会有检测放在ksn上的
论坛里的部分几年前的自制样本现在卡巴还是报uds
http ...

个人意见，所有文件运行前检查云信誉是非常合理的行为，就算是系统文件，也随时可能出现被利用的漏洞需要紧急拉黑。如果有任何文件运行前不需要检查云信誉，都是可能的安全隐患。支持看运气的说法，没有哪个杀毒软件完全可靠，每次遇到的新病毒都有可能可以绕过已安装的杀毒软件，最好的杀毒方法是人脑杀毒。

显示全部楼层 · 发表于 5 天前

BD:AI:Swrort.45841.4F93B62119

活久见非HyperDetect机学的ML报法

[病毒样本] 3x （低质量）

本帖子中包含更多资源