Zainfekowany ???

[Flash999]

Heurystyka to " heurystic "
" behaviour " to behawioralne, czyli to ochrona behawioralna (po zachowaniu). To coś innego niż heurystyka.

[KaMiL]

[Aby zobaczyć linki, zarejestruj się tutaj]

behavior? to nie jest heurystyka?

Może i posługuje się czymś poza silnikami, ale nie można tego wyłączyć...

[Flash999]

Hitman ma jakieś swoje mechanizmy. Potrafi po charakterystycznych cechach wykryć np. Bootkita.

[Waves]

no mówiłem, heursytyka, a ten zaraz, że głupot mam nie pleść

A używałeś kiedyś Hitmana Pro ? Pleciesz głupoty bo nie wyłączysz heurystyki w skanerze korzystającym z chmury.

[nukemiak]

Heurystyka to " heurystic "
" behaviour " to behawioralne, czyli to ochrona behawioralna (po zachowaniu). To coś innego niż heurystyka.

to właśnie jest heurystyka
edit: nie używałem hitman pro, ale skoro program uważa coś za zagrożenie to pewnie przez heurystykę, sprawdził potem na virustotal i wyszło, że wszystko w porządku to co może być nie tak?

[KaMiL]

Co Ty w ogóle gadasz? Mówimy o dwóch, róznych metodach wykrywania, co z tego, że są one do siebie pod pewnym względem podobne? Na pewno heurystyka nie jest tym samym, co analiza behawioralna. Heurystyka sprawdza kod pliku, aby sprawdzić m in. czy nie zawiera ona dane instrukcje, które mogą sugerować istnienie wirusa. Nie analizuje ona samego zachowania pliku. A to właśnie robi analiza behawioralna, jak sama nazwa wskazuje.

Może jestem za młody, żeby Ciebie krytykować, ale oceniam Cie po komentarzach i wydaje mi się, że jesteś zbyt pewny siebie.

[nukemiak]

[Aby zobaczyć linki, zarejestruj się tutaj]

to jest właśnie heurystyka, a że behavioralna, zwał jak zwał

[nikita]

[Aby zobaczyć linki, zarejestruj się tutaj]

to jest właśnie heurystyka, a że behavioralna, zwał jak zwał

Poczytaj jeszcze w innych źródłach, aczkolwiek artykuł który podałeś zawiera dobre jakościowo informacje i jest łatwy do zrozumienia.

[nukemiak]

a jakiś link co mam poczytać? byłoby miło

[ss1973]

Sorry,nie to forum.

[Fix00ser]

[Aby zobaczyć linki, zarejestruj się tutaj]

[Aby zobaczyć linki, zarejestruj się tutaj]

[nukemiak]

Współczesne programy antywirusowe wykorzystują również sygnatury heurystyczne. Generalnie mianem metod heurystycznych określa się w przypadku antywirusów wszystkie inne metody wykrywania zagrożeń, oprócz powyższych tradycyjnych metod sygnaturowych.

[nikita]

Współczesne programy antywirusowe wykorzystują również sygnatury heurystyczne. Generalnie mianem metod heurystycznych określa się w przypadku antywirusów wszystkie inne metody wykrywania zagrożeń, oprócz powyższych tradycyjnych metod sygnaturowych.

Nie czytałem powyższych dwóch artykułów, dlaczego zacytowałeś? Nie dokładna składnia? Rozumiem, że to fragment któregoś z linków podanych przez Fix00ser''a?

[nukemiak]

tak

[nikita]

[Aby zobaczyć linki, zarejestruj się tutaj]

to jest właśnie heurystyka, a że behavioralna, zwał jak zwał

Mam teraz chwilę na sprostowanie tematu. Skrótowo, ale zawsze. Jak przeczytałeś w załączonym materiale, heurystyka w wykrywaniu złośliwego oprogramowania dzieli się na statycznąi dynamiczną . Statyczna również opiera się o sygnatury- dyskryminatory - cechy świadczące o tym, że plik może zawierać złośliwy kod.

Dyskryminatory [...]mogą być związane np. z nietypowym wyglądem pliku wykonywalnego

Z kolei heurystyka dynamiczna pozwala na uruchomienie programu w emulowanym środowisku, tak aby zaszyfrowane (wykorzystanie kompresorów i protektorów) części kodu osiągnęły "gołą" postać. Jakub Dębski napisał też, że analiza behawioralna (dalej zwana AB) jest również zaliczana do heurystyki dynamicznej (dalej zwana HD), więc skąd różnorodność nazw?

Tym, co różni AB od HD jest środowisko uruchomienia. Podczas gdy dynamiczna analiza zachowania programu następuje w środowisku emulowanym, analiza behawioralna częściejjest przeprowadzana na systemie "macierzystym".

Sam proces emulacji nie należy do najszybszych, ale problem wydajnościowy pojawia się razem z pytaniem "kiedy należy zakończyć pracę emulatora?" Im dłużej procesy są emulowane, tym bardziej spada wydajność działania. Różnica jednak jest najbardziej widoczna od strony technicznej, a nie odczuwalnej przez użytkownika. Największym ograniczeniem dla emulatora jest niedeterministyczność malware. Złośliwy kod może uruchamiać się raz na parę uruchomień, lub w zależności czy system operacyjny spełnia jakieś założone przez programistę wymagania. Emulator nie jest w stanie przeanalizować wszystkich możliwości wykonywania programu, ale idzie jak z procy więc nie spowalnia działania systemu (po prostu sam nie jest szybki), tak jak monitorowanie SO podczas właściwego działania. Nieemulowana AB po prostu nie jest ograniczona środowiskiem i może zwiększyć wykrywalność malware. Oczywiście warto dodać, że AB również może być przeprowadzona w środowisku emulowanym, ale nie dotyczy ona tak analizy kodu, a bada zachowanie obiektów i ich powiązań z systemem operacyjnym.

Najczęściej monitorowanie behawioralne dotyczy typowych działań niebezpiecznych programów, jakimi są:

- modyfikacja plików wykonywalnych,
- pobieranie i uruchamianie plików z Internetu,
- wysyłanie listów za pomocą własnego silnika SMTP,
- modyfikacja rejestru,
- modyfikacja plików systemowych,
- zabijanie procesów (np. programów antywirusowych),
- modyfikacja innych procesów,
- szpiegowanie klawiatury,
- nasłuchiwanie na otwartych portach,
- praca programu bez widocznego okna.

Ściślej opisane jest to w całym artykule, a zarazem źródle części tego posta:

[Aby zobaczyć linki, zarejestruj się tutaj]

Tak więc jeszcze raz:

to jest właśnie heurystyka, a że behavioralna, zwał jak zwał

Nie jest to prawdą od strony formalnej.

W artykule

[Aby zobaczyć linki, zarejestruj się tutaj]

, autor pisze:

Active Heuristics
Active heuristics are referred to by a variety of names by different vendors. Some call the technique “sandboxing”, others call it “virtualization” or “emulation.” In all cases the idea is to create a safe virtual environment, run the code to be inspected and watch the behaviors in order to assess risk.

Nie widzę nigdzie odwołania do monitorowania systemu podczas jego działania.

Źródła w linkach.

Temat można wydzielić i otworzyć pole dyskusyjne