Исходное сообщение
"ESET начинает бета-тестирование антивируса NOD32 для Linux" Отправлено Карбофос, 06-Дек-09 12:47
однозначного ответа нет. это зависит от самих алгоритмов эвристического анализа. есть такие, быстро налабали да выкинули на рынок. хороший пример - ваш пример с upx и каспеским. но те примеры, которые я видел - с двойной упаковкой и больше. а "аналитики" потом говорят: "ой, а тут у вас простая <<Hello World!">> под подозрение попала". какое говно ваш эвристический анализ. точно также можно и бинарный поиск при определенных условиях назвать говном (извиняюсь). достаточно создать немного другие условия для тестирования. которые будут совсем из другой оперы, или ничего общего с реальностью не будут иметь. тем не менее - распознание левых движений, создаваемой программой должно быть на тот случай, когда левого бинарного кода нет в базе сигнатур. да и вообще, ко всему прочему делать список программ, как это делают некоторые брандмауеры, запуск которых разрешен и в случае изменения контрольной суммы пользователь получает сообщение. ну и в эвристических алгоритмах всегда будет свой +/-. а какой разброс по величине - зависит только от качества алгоритма.