确认：扫描和主防的病毒组是各自独立的

大汉天子1

以前我总以为只有一个病毒组，只不过扫描的病毒入库多些，主防给少些，以前的特征码干掉的数量好像也证实了这点
不过今天可以确认他们是两个病毒组，理由：
今天微点杀毒扫描特征码查杀是27个（默认设置应该基本上是特征码查杀的），而微点主防特征码查杀有38个
大家都知道微点杀毒属于传统杀毒，特征码很重要，如果是同一个病毒组，不可能给微点杀毒入库少，而给主防入库多
所以判定：是两个独立的病毒组

angir

我记得主动防御版本特征码过滤模块进行特征码过滤时不包脱壳功能的
你确定主动防御版本的特征查杀率包含了脱壳后特征扫描的？

大汉天子1

原帖由 angir 于 2009-11-14 21:55 发表
我记得主动防御版本特征码过滤模块进行特征码过滤时不包脱壳功能的
你确定主动防御版本的特征查杀率包含了脱壳后特征扫描的？

这个不用管吧，我只要解压以后看剩余样本是多少就行了，这个你看看佛的主防测试就知道了。

angir

而且，不排除只有一个病毒分析组，在分析完一个样本后把 特征码 和 处理方法 分别提供给主防版本和扫描版本的研发团队，让他们自己决定是否入库？

angir

我这两天在样本区得到一个结论：
一个微点可以特征查杀的样本加了壳就不可以识别，但是如果进行 重命名/移动的时候才可以再次特征过滤掉
你确定佛只是解压后的就当特征miss了？

大汉天子1

原帖由 angir 于 2009-11-14 22:00 发表
而且，不排除只有一个病毒分析组，在分析完一个样本后把 特征码 和 处理方法 分别提供给主防版本和扫描版本的研发团队，让他们自己决定是否入库？

不可能，假如是一个病毒组提供的，应该是扫描组的人照单全收才是。而主防才需要少接受一些，因为主防的病毒库不宜过大。

大汉天子1

原帖由 angir 于 2009-11-14 22:01 发表
我这两天在样本区得到一个结论：
一个微点可以特征查杀的样本加了壳就不可以识别，但是如果进行 重命名/移动的时候才可以再次特征过滤掉
你确定佛只是解压后的就当特征miss了？

这是肯定的，不但是佛是这样做的，以前所有的测试员都是这样做的。

angir

原帖由 大汉天子1 于 2009-11-14 22:03 发表

不可能，假如是一个病毒组提供的，应该是扫描组的人照单全收才是。而主防才需要少接受一些，因为主防的病毒库不宜过大。

那不就对了……
我们可以假设：病毒分析组分析完样本测试后把病毒 特征码 和 处理办法 提供给两个团队，扫描版就照单全收更新特征库，主防版有选择地更新一部分特征
这样做也可以解释的通啊~

angir

如果运行一个样本后马上，马上微点就提示特征了呢？这个怎么算？
这个算是运行后脱壳微点二次特征出来的，也算行为分析的？

大汉天子1

原帖由 angir 于 2009-11-14 22:07 发表


那不就对了……
我们可以假设：病毒分析组分析完样本测试后把病毒 特征码 和 处理办法 提供给两个团队，扫描版就照单全收更新特征库，主防版有选择地更新一部分特征
这样做也可以解释的通啊~

我怎么感觉你……
假如扫描版照单全收，主防版有选择的更新一部分，那么怎么解释今天的主防特征码查杀的比扫描版查杀的多？
所以肯定是两个不同的病毒组