El mundo de antivirus

lunes, 10 de julio de 2017

¿El antivirus protege de vulnerabilidades? Es una pregunta que parece rara, pero a veces surge. El antivirus escanea los archivos y procesos causados por los archivos iniciados, y hay escáneres de vulnerabilidades para escanear las mismas. De esta forma, los productos son distintos, pero no todo es tan fácil.

Las vulnerabilidades pueden ser de dos tipos. El primer tipo son las conocidas para los productores y para corregir las cuales han sido lanzadas las actualizaciones, el segundo – las desconocidas o sin actualizaciones. Los escáneres de vulnerabilidades conocen solo el primer tipo y, si Vd. instaló todas las actualizaciones, está protegido de vulnerabilidades conocidas (no siempre es así si Vd. mismo crea software o si en su equipo está configurado un sitio web, pero, sin hablamos de vulnerabilidades de software ordinario, es así).

Pero Vd. tiene vulnerabilidades desconocidas, y debe aceptarlo, desconocidas para todos, incluidos los escáneres de seguridad y los antivirus.

Pero ¿siempre es así?

Las vulnerabilidades pueden ser distintas. Por ejemplo, las “vulnerabilidades”, a través de las cuales funcionaba WannaCry, solamente permitían ubicar un archivo en el sistema atacado e iniciarlo. Pero si el monitor de archivos está funcionando en el equipo, simplemente escaneará este archivo y, si el mismo parece sospechoso, no permitirá iniciarlo. Al igual que en caso de WannaCry en sistemas protegidos por Dr.Web. Al monitor de archivos no le importan las vulnerabilidades del sistemas – funciona tanto en caso de vulnerabilidades conocidas como desconocidas.

En teoría, se puede buscar los exploits que no solamente ubicarán el archivo, sino también desinstalarán el antivirus. Pero en la práctica esto pasa pocas veces y no es de amenaza para usuarios de hogar. Son más probables los casos de uso de un exploit que incrusta el código nocivo en los procesos iniciados. Pero el antirootkit y el módulo de protección contra exploits de Dr.Web protegen de eso.