No estoy seguro de cómo son los conjuntos de reglas públicas de detección de malware. Por "conjunto de reglas" me refiero a las reglas, generalmente escritas en Yara, que los motores de detección de malware usan para determinar si un archivo o secuencia de memoria es potencialmente malware.
Sé que diferentes detectores definitivamente usan diferentes conjuntos de reglas, porque si usa Virus Total o algún servicio similar, puede ver que para un binario dado, algunos de los proveedores marcarán el binario y otros no. Espero que el conjunto de reglas de un proveedor sea una "salsa secreta" que no se divulgaría públicamente.
Sin embargo, no puedo ver cómo sería secreto. Por ejemplo, tengo Symantec Endpoint ejecutándose en mi escritorio, por lo que, en teoría, tiene un archivo en algún lugar donde está leyendo el que tiene el conjunto de reglas. Por lo tanto, obtener las reglas debe ser tan simple como encontrar ese archivo. Por supuesto, existe la posibilidad de que el conjunto de reglas de mi escritorio sea diferente al que tiene Symantec en sus servidores. Por lo tanto, en el escritorio podría estar obteniendo lo "antiguo" que todos saben, y todas las reglas realmente valiosas están solo en sus servidores y, por lo tanto, son inaccesibles.
Entonces, ¿estos conjuntos de reglas se consideran "secretos" o están disponibles públicamente o en algún lugar intermedio?