2月3日凌晨12:46（当地时间），北卡罗来纳州一位Windows 7 Pro用户成为了名为Trojan:Win32/Emotet的新型恶意软件活动的首个受害者。随后30分钟内，攻击波及1000多名用户，但得益于Windows Defender AV的即时自动保护，所有用户均免受侵害。

这次新型攻击的早期发现和阻断，归功于客户端和云端协同工作的多层机器学习模型。Windows Defender AV每天利用人工智能即时阻止无数恶意软件的传播。本文将详细解析客户端与云端ML模型如何协同检测新型恶意软件。

客户端机器学习模型

第一层防护是直接嵌入Windows Defender AV客户端的多个小型ML模型，这些模型专门检测JavaScript、VBScript、Office宏等常见攻击载体，还包括行为检测和可执行文件（.exe/.dll）检测模型。

检测2月3日的Emotet攻击使用了PE梯度提升树集成模型。该模型通过模拟执行时的汇编操作码序列特征来分类文件。训练采用微软开源框架LightGBM实现高性能梯度提升。

当客户端模型判定高威胁时，会生成包含以下特征的丰富向量：

• 模拟行为（API调用/执行代码）
• 模糊哈希相似度
• 优化后的内容特征向量
• 研究人员标记属性（如加壳技术）
• 文件名/大小/熵值
• 文件属性（节区数量等）
• 静态/模拟内容的部分哈希

云端实时机器学习模型

Windows Defender AV的云端分类器采用需要大量计算资源的复杂ML模型，结合Microsoft Intelligent Security Graph的全球文件情报进行评估。云端模型的三大优势：

1. 不占用用户本地资源
2. 基于全局情报更准确
3. 更难被攻击者绕过（所有测试都会触发云端通信）

云端保护服务每日处理数十亿查询，阻断数百万恶意软件。当前并行运行约30个强大模型，多数每日更新以应对快速演变的威胁。通过组合分类器、规则引擎和许可列表，可在1秒内返回判定结果。

在Emotet案例中，北美区域云服务器收到最多查询。9个以上实时ML分类器准确识别出恶意文件，云端服务基于Trojan:Win32/Fuerboos.C!cl和Trojan:Win32/Fuery.A!cl两个ML威胁情报，指令客户端阻断攻击。

文件深度学习分析

攻击发生1分钟内，Windows Defender AV的自动样本提交系统就将恶意文件发送至微软后端。深度学习模型通过分析文件内容和行为，立即识别出这是银行木马家族Trojan:Win32/Emotet的变种。

除阻断威胁外，深度学习模型还能将威胁归类到正确家族，让用户了解潜在影响。当实时分类器无法判定时（如Bad Rabbit勒索软件案例），深度学习模型可在14分钟内提供保护。

面向新型威胁的智能实时防护

机器学习和AI是Windows Defender AV实时防护的核心技术，结合Microsoft Intelligent Security Graph的威胁洞察和顶级专家经验，实现快速演进的全方位防护。

企业可通过组策略、SCCM、PowerShell等工具管理云端防护服务。Windows Defender ATP整合了AV、Exploit Guard和Application Guard，提供统一安全管控体验。

值得注意的是，Windows 10 S模式完全免疫此类攻击，因其仅允许运行Microsoft Store应用。所有Windows 10安全技术详情可参考相关博客。