El mundo de antivirus

viernes 28 de agosto de 2020

Seguramente habrá visto muchas veces los sitios web donde aconsejan desactivar SpIDer Gate o el Control Parental en Dr.Web.Web Security Space, para entrar sin problemas donde nuestro virus no permite entrar.

En algunos sitios web, si el usuario duda de la opinión de Dr.Web, primero aconsejan asegurarse de que se trata de una falsa alarma. Para realizarlo, antes de descargar, ofrecen escanear un archivo con algún multiescáner. Por ejemplo, VirusTotal. Pero los que lo aconsejan no toman en cuenta todos los detalles de la protección antivirus.

¿Qué es un multiescáner? Es un sitio web (servicio) donde se puede enviar un archivo para escanearlo por muchos antivirus a la vez. El más conocido, pero no el único es VirusTotal (a propósito, en el programa de desarrollo digital de Rusia hay una tarea de creación de un servicio similar). Se puede enviar no el archivo, sino su suma de comprobación. En este caso, el servicio dará una respuesta, si anteriormente un archivo con la misma suma de comprobación ya había sido escaneado.

Los multiescáneres legales transfieren los nuevos archivos maliciosos a los productores de los medios de protección,, y los ilegales, por supuesto, no lo hacen.

¿Cómo funciona un multiescáner? El archivo recibido se entrega al antivirus iniciado que lo escanea y da el resultado. Pero lo escanea solo para ver si este archivo es conocido para las bases de virus, sin iniciarlo. De esta forma, hasta un cifrador típico, si no forma parte de las firmas de bases y no se detecta por el mecanismo heurístico, será considerado no malicioso (a propósito, sobre los mecanismos heurísticos: bloqueamos WannaCry con nuestras tecnologías heurísticas que seguimos mejorando a partir del año 1994).

La solución del multiescáner solo es una comprobación si los antivirus conocen el archivo. Nada más. El servicio no da ninguna garantía de «limpieza» de este archivo.

Pero vamos a verlo todo por pasos.

1. Los creadores de virus también usan los multiescáneres, antes de lanzar un nuevo virus. Hacen pruebas con el virus con todos los antivirus populares. Lo cual significa que durante un rato ningún antivirus podrá detectar el nuevo virus.
2. Este escaneo se basa solo en las bases de virus. Pero ¿quién confía solo en las bases hoy día? Mientras los analistas de virus estén intentando añadir una nueva entrada en las mismas, puede producirse un ataque importante, como, por ejemplo,en caso de WannaCry. Además de las bases de virus, los antivirus ya desde hace mucho siguen desarrollando las tecnologías de detección de lo malicioso por comportamiento – una vez iniciados los archivos. En particular, las tecnologías de protección preventiva.
3. Comprimidores. Un archivo puede ser comprimido por un comprimidor desconocido para el escáner (un archivador) y en este caso el antivirus no podrá separar el objeto maliciosos y compararlo con sus firmas. ¿Qué significa esto en la práctica? El virus comprimido varias veces o comprimido por un comprimidor aún desconocido para todos los antivirus nunca será detectado por el multiescaner o una parte de los antivirus usados por el mismo. A propósito, disponemos de la tecnología de detección de los objetos maliciosos en los archivos comprimidos por un formato desconocido.
4. Privacidad. Por ejemplo, Vd. recibe por correo un mensaje raro, supuestamente, de Su jefe, pero algo le parece raro. Vd. desea escanearlo y lo manda al multiescáner. Resultará que el archivo no es malicioso, pero nadie sabe a quién fue enviado el mismo. Algunos multiescáneres, si ningún antivirus detecta un archivo como malicioso, lo envían de forma automática para un análisis más detallados a los laboratorios de virus, lo cual es correcto. Pero ¿Vd. desea que Su documento corporativo secreto sea conocido para muchas empresas importantes y`potencialmente pueda ser usado contra Su empleador?

Y, por fin, un caso curioso. Hace unos años un vendedor antivirus importante para confirmar que otros vendedores antivirus menos conocidos le roban las detecciones, envío a VirusTotal un archivo de la Calculadora del SO Windows, al comprimirlo varias veces y al marcarlo como virus. Unos minutos más tarde, algunos vendedores más también consideraron el archivo Mircosoft como virus.

Así que no siempre se puede confiar totalmente en un multiescáner. Los escáneres son cosas del siglo pasado. Actualmente ya no ayudan, a diferencia del conjunto de tecnologías Dr.Web.

#Dr.Web #escaneo_antivirus #características_de_la_infección #tecnologías