弱弱地问一个样本的问题~`

显示全部楼层 · 发表于 2007-2-12 09:59:57

这个文件是nod32里面的不知道为什么卡巴会报为木马..
木马程序 Trojan-Dropper.Win32.Pakes 文件: C:\Program Files\Eset\infected\EDWSJ2AA.NQF//PE-Crypt.XorPE

谁说下...

显示全部楼层 · 发表于 2007-2-12 10:02:05

NOD32隔离区内的东西，已经被NOD32处理过了，无危害，卡巴这个是鞭尸。

卡巴提特征码只提关键部分，代码过于简短，所以容易造成鞭尸和误报

显示全部楼层 · 发表于 2007-2-12 10:03:37

像瑞星误报比较少，每一个样本要提11处以上的特征码（并不代表瑞星不LJ）

显示全部楼层 · 发表于 2007-2-12 10:05:05

靠好快理解了谢谢~

显示全部楼层 · 发表于 2007-2-12 10:07:24

举个例子，某样本特征码是1234567890
卡巴就提关键处123
NOD32提了123， 56， 90

两者的区别就在于，卡巴代码过于简短，如果这个样本已经损坏，损坏后的代码是1234，无法运行，可是卡巴就认准123，结果还是要报的。NOD32就不一样了，因为代码不匹配，所以这个时候NOD32就不会鞭尸，所以一样的情况下卡巴容易误报，估计代码简短的原因是为了保证快速反应

显示全部楼层 · 发表于 2007-2-12 10:12:47

哦这样子的阿害我担心好一会..
卡巴给人的感觉是安全感比较好.....

显示全部楼层 · 发表于 2007-2-12 10:15:26

快速反应就容易忙中出错，病毒分析师也是人，卡巴的误报基本上在4％左右

显示全部楼层 · 发表于 2007-2-12 10:24:35

宁可错杀1000,不可放过一个~!!!

显示全部楼层 · 发表于 2007-2-12 10:54:03

原帖由 绅博周幸 于 2007-2-12 10:02 发表
NOD32隔离区内的东西，已经被NOD32处理过了，

这个我就不明白了，隔离区隔离就好了，它处理什么？如果误报了，那正常的程序岂不是会被破坏掉？

显示全部楼层 · 发表于 2007-2-28 09:25:37

原帖由 eubyo 于 2007-2-12 10:54 发表

这个我就不明白了，隔离区隔离就好了，它处理什么？如果误报了，那正常的程序岂不是会被破坏掉？

这个功能是杀软留给我们错误删除文件时候恢复的一条后路吧?我理解大概是这样,说错了别怪...我水平低

弱弱地问一个样本的问题~`

本帖子中包含更多资源