El mundo de antivirus

martes 21 de febrero de 2017

Un humorista ruso conocido tiene un monólogo donde Dr.Web junto con otro antivirus elimina troyanos desde un equipo, pero luego lo hace sin ninguna ayuda. Pero fuera de broma, ¿podrán funcionar varios antivirus en un sistema?

Todos saben que no se recomienda usar dos antivirus en el mismo equipo. Pero algunos estándares (tanto rusos como extranjeros) recomiendan usar más de un antivirus en una empresa. ¿Quién lleva la razón? Vamos a verlo.

Es muy lógico, cuantas más tareas se realizan en el equipo, más recursos se necesitan. Pero los lectores atentos de nuestro proyecto ya saben que escanear un dispositivo USB automáticamente al conectarlo no es una buena idea porque mucha gente saca estos dispositivos sin usar la función «Es seguro extraer el dispositivo», lo que puede causar una pérdida de datos si el proceso de escaneo no ha sido finalizado.

Eso tampoco es completamente correcto. Primero, si un archivo se descarga de Internet, lo más probable es que se escaneará “al vuelo” durante la descarga (en caso de Dr.Web – por el web antivirus SpIDer Gate). Pero supongamos que el archivo no fue escaneado al descargar. El monitor de archivos (que en Dr.Web se llama SpIDer Guard) puede escanear los archivos al abrirlos, cerrarlos y en modo paranoico — para cada operación de escritura. En caso de descargar un archivo, no tiene sentido escanearlo al cerrar – no amenaza a nadie, y el escaneo solo quitará recursos. Es lógico escanearlo al abrir la próxima vez. Pero supongamos que todos los antivirus empiezan a escanear un archivo recientemente guardado. En este caso debemos recordar que el sistema operativo no puede realizar acciones paralelas (en realidad sí es posible en sistemas modernos multiprocesadores, pero estas acciones requieren mucha atención porque el procesamiento simultáneo de las mismas secciones del archivo puede causar problemas). Para interceptar las solicitudes a archivos, los antivirus instalan controladores especiales en el sistema, y estos interceptores hacen cola. De esta forma, en un sistema bien construido el archivo será escaneado por un antivirus y luego por otro.

¡Atención! En este tipo de sistema de procesamiento de operaciones con archivos el virus puede ser el primero en la cola de procesadores – y ningún antivirus notará su funcionamiento. Por eso Dr.Web intercepta las acciones con archivos no a nivel del sistema de archivos, sino a nivel más bajo – a nivel de controladores del sistema.

En el equipo del autor de esta edición en un momento funcionaban correctamente tres antivirus. Y solo el navegador del sistema fue afectado. Por eso el autor no recomienda repetir este experimento.

Pero ¿de verdad un antivirus es la única protección? El usuario puede tener su Firewall, Control parental, un sistema de protección de ataques, las copias de seguridad – ¿todo esto provocará conflictos con un antivirus?

¿Puede un antivirus considerar los archivos del otro como programas nocivos? Vamos a verlo. Primero, existe un mito sobre firmas diciendo que, como el antivirus detecta los virus por firmas, las mismas se guardan en la base de virus, por lo tanto, el segundo antivirus encontrará las firmas en la misma y se volverá loco de tantos virus en un solo archivo. Pero una firma es una parte característica del código, y nadie sabe qué parte se usará por varios productores como característica. Incluso si suponemos que todos los vendedores por casualidad usaron la misma firma, en este caso tampoco pasará nada grave – las firmas se guardan comprimidas en la base. Y el segundo antivirus no descomprimirá esta base – esto no tiene sentido.

Pero los medios de comunicación de vez en cuando informan de que un antivirus empezó a bloquear otro. Sí, esto pasa, pero con la misma frecuencia el mismo antivirus bloquea otros programas legales, y estas noticias no son de interés para los medios de comunicación. Y a veces un antivirus empieza a destruir a sí mismo. Nosotros no hemos registrado casos similares.

Pero sí es verdad que el antivirus notifica al usuario sobre la instalación de algún programa. En realidad, ningún antivirus puede estar seguro de que todas las aplicaciones instaladas en el equipo son legales. Por lo tanto, es normal que funcione la protección preventiva al instalar cualquier programa. Y no importa qué exactamente se instala – el segundo antivirus u otro software.

Pero supongamos que un antivirus empieza a borrar otro. No vamos a tomar en cuenta la autoprotección que simplemente no lo permitirá. ¿Qué pasará? Lo más probable que nada. Un antivirus es solamente un software, aunque un software complicado.

Aquí no hay lógica. Por ejemplo, si Dr.Web CureIt! abre algún archivo, el antivirus activo (según lo mencionado más arriba) debe prestar atención a esto y comprobarlo antes de pasarlo al escáner antivirus – «como resultado, el archivo puede ser bloqueado, cuando un antivirus intenta escanearlo». Pero esto nunca pasa.

En realidad, en todos estos ejemplos no se menciona la protección, sino los posibles problemas que pueden ser evitados en caso de usar productos sometidos a pruebas seguras por sus desarrolladores, así mismo, a las de compatibilidad con otras soluciones.

¿Será que los estándares son correctos y se puede instalar dos antivirus? Tampoco es así. La idea de necesidad de uso de varios antivirus se basa en que los programas nocivos llegan a los vendedores de forma autónoma: lo que no captura un antivirus, capturará el otro. Pero en realizad no es así. Los creadores de virus hacen pruebas de sus “obras” en todos los antivirus antes de lanzarlas. Por lo tanto, no importa el número de las bases de virus usadas, en este caso los escaneos antivirus no ayudarán. Deben usarse otros métodos de protección (en particular, el analizador heurístico).