Het standaard blokkeren van programma's die gepackt zijn lijkt de oplossing, er zijn echter talloze legitieme applicaties die dit ook doen, waaronder GoogleAls AV een bestand niet (goed) kan scannen vanwege onbekende compressie (bewust gemanipuleerde upx komt inderdaad veel voor) of tig keer nesten van zip e.d. moet deze m.i. alarm slaan. Bestanden waarvoor onterecht alarm geslagen wordt (vanwege genoemde obfuscation maar ook die files die om andere reden 'verdacht' zijn, zoals netcat en pskill) moet je kunnen whitelisten.Als het gaat om encryptie en obfuscatie is dit pas het begin. Malware is nu al in staat om te zien of het door een scanner gescand wordt.Zolang de meeste gebruikers als admins werken en/of AV ook door gewone users eenvoudig is uit te schakelen is behavioral detection gedoemd te mislukken. M.i. moet een virusscanner scannen voordat een bestand wordt 'uitgevoerd', dan is het echt nog niet in staat te 'zien of het gescand wordt'. Ik liep net door de Media Markt en zag een externe harde schijf ...