因局长太忙没什么时间测试。经局长的同意，现由我替他测试8月的。

COMODOV3虽然是防火墙，不是杀毒软件，但是其有自己独特的启发技术，在病毒运行之初就可以利用启发技术检测出一部分病毒。在此再次说明COMODO的启发不是杀毒软件，希望大家不要误以为这是测试杀毒能力。详细技术介绍请参考介绍Comodo V3 的恶意软件行为启发分析。

测试方法：双击病毒，当COMODO提示"denfense+ malware heuristic analysis has detected possible malware behavior"时表示COMODO已启发报毒。因COMODO启发报毒方式的不同，测试证明以附件形式上传录像。

日期	启发数	样本总数	侦测比
8.01	219	242+1（无法运行）	219/242=0.9049586
8.02	75	117	75/117=0.6410256
8.03	109	119	109/119=0.9159663
8.04	60	73	60/73=0.8219178
8.05	166	182	166/182=0.9120879
8.06	163	186	163/186=0.876344
8.07	151	195+1(bat文件.这个只能靠cmd.exe的规则了.启发不管)	151/195=0.7743589
8.08	156	193	159/193=0.8082901
8.09	97	130	97/130=0.7461538
8.10	49	84	49/84=0.5833333
8.11	59	82	59/82=0.7195121
8.12	80	97	80/97=0.8247422
8.13	89	124	89/124=0.7177419
8.14	100	119	100/119=0.8403361
8.15	137	162	137/162=0.845679
8.16	67	90	67/90=0.7444444
8.17	88	109	88/109=0.8073394
8.18	54	64+1(080818-A1-51.exe为bat文件重命名为exe的文件,explorer.exe先调用ntvdm.exe文件.然后就是cmd的行为了)	54/64=0.84375
8.19	63	81	63/81=0.7777777
8.20	92	106	92/106=0.8679245
8.21	88	118	88/118=0.7457627
8.22	138	158	138/158=0.8734177
8.23	116	149	116/149=0.7785234
8.24	233	254	233/254=0.9173228
8.25	118	131+1（080825-A1-63.exe为bat文件重命名为exe的文件,explorer.exe先调用ntvdm.exe文件.然后就是cmd的行为了。)	118/131=0.9007633
8.26	89	112	89/112=0.7946428
8.27		此日未发布样本
8.28	196	227	196/227=0.8634361
8.29	96	109	96/109=0.8807339
8.30	84	95	84/95=0.8842105
8.31		此日未发布样本

因本人只能上传最大500K的附件，压缩分卷可能会多。可到我的网盘http://qcqyt.ys168.com/  “Comodo启发测试录像”下载单文件的录像。如本帖当日未上传录像附件，可到我网盘下载。

[ 本帖最后由 qcqyt 于 2008-9-1 12:31 编辑 ]

测试录像。

[ 本帖最后由 qcqyt 于 2008-8-20 18:22 编辑 ]

测试录像.

[ 本帖最后由 qcqyt 于 2008-8-30 18:09 编辑 ]

Comodo V3 的恶意软件行为启发分析 这很像HIPS啊 打开一个程序拦截一下

V3本来就是HIPS防火墙。启发只是个附加功能，使得V3更强大

希望LZ能坚持下去

只要鼠标能顶得住，就没问题。

不是这样的。
是报denfense+ malware heuristic analysis has detected possible malware behavior的才能算报启发。不报这个的就不算。
如果不光只报这样的也算，据局长讲，那闭着眼睛都是百分之百。（当然，局长他使用的是他的规则）。

毛豆又开始测试了，支持

辛苦了