El mundo de antivirus

lunes 10 de abril de 2017

Una perogrullada es verdad o certeza que, por notoriamente sabida, es necedad o simpleza el decirla (RAE).

En muchos cuentos de hadas al protagonista le salvan de un apuro, pero a cambio le piden entregar algo que tiene en su casa, pero lo desconoce. Vd. preguntará: ¿qué tiene que ver esto con un antivirus? Pronto lo entenderá.

Como sabemos, el núcleo antivirus es un componente del antivirus que identifica, pero no captura (véase la edición «Un antivirus es un organismo sofisticado») los archivos nocivos (y desde hace poco – los códigos también) usando:

• las entradas en la base de virus (firmas);
• las funciones que tienen características de archivos nocivos anteriormente encontrados;
• hipótesis sobre amenazas que pueden aparecer en el futuro (tecnologías heurísticas).

De esta forma, para que el núcleo antivirus identifique un archivo sospechoso es necesario que el mismo sea investigado con antelación por un analista de virus y sea similar a las muestras analizadas anteriormente (y en este caso el analizador heurístico lo «capturará»)..

Las empresas antivirus necesitan siempre completar su conocimiento sobre los nuevos programas nocivos. Uno de los modos de ampliación de la colección de virus Dr.Web es la recepción de las nuevas muestras de parte de víctimas de un programa nocivo desconocido para el antivirus. Los que envían las muestras de programas nocivos a los vendedores, lo hacen para ayudar a los que aún no han sido atacados. Pero hay un problema bastante importante.

En la práctica resulta que la mayoría de los usuarios y administradores de sistemas no están preparados para un incidente de virus.

Y ya no mencionamos los procedimientos que deben realizar los administradores de sistemas de varias empresas en caso de un incidente vinculado con virus y que no siempre existen en cada empresa.

Los troyanos cifradores existen ya hace muchos años (сvéase las ediciones del tema «Cifrarlo todo»). Pero hasta hoy día la mayoría de los administradores de sistemas no saben QUÉ deben enviar al laboratorio de virus para ayudar a los analistas de virus a descifrar archivos. Por ejemplo, cuántos archivos cifrados deben enviar para el análisis y con qué requerimientos deben cumplir los mismos.

ГParece mentira, pero lo que se envía generalmente para el análisis son … ¡las copias de pantalla con requerimientos de los malintencionados!

La gente lo hace por ignorancia, pero estas copias de pantalla no ayudan nada para ampliar las bases de virus.

Además, los malintencionados intentan borrar los rastros — borran los logs (los registros de eventos), eliminan los componentes ya no necesarias de programas nocivos del sistema dañado (por ejemplo, droppers). Como resultado, para el análisis pueden llegar (y llegan) solo las partes activas del programa nocivo, y no las que provocaron infección.