El mundo de antivirus

miércoles 24 de febrero de 2021

Como todos sabemos, la base del funcionamiento eficaz de cualquier antivirus es el mantenimiento de sus bases de virus actualizadas. Porque cuantas más firmas hay (las que contienen la información digital sobre varias amenazas) en la memoria del módulo antivirus, tantas menos posibilidades habrá que no detectar algún malware si el mismo intenta penetrar en un dispositivo protegido. Para la protección segura es necesario reducir al máximo el periodo entre la aparición de las nuevas amenazas y la implementación de sus firmas en las bases, por lo tanto, Dr.Web recibe las actualizaciones cada hora,. Este ritmo requiere mucho trabajo, sobre todo si hay un flujo ininterrumpido de nuevo malware en el entorno digital. Porque todos los días el laboratorio de virus de Doctor Web recibe cerca de un millón de muestras para el análisis.

En esta edición vamos a revelar algunos enigmas y contaremos sobre los que afrontan este trabajo todos los días, las personas y las cosas imprescindibles para cualquier producto antivirus – los analistas de virus y su laboratorio.

Al principio, vamos a ver un poco las estadísticas. Como hemos mencionado más arriba, nuestro laboratorio recibe hasta 1 millón de muestras al día para el análisis. Vd. preguntará: “¿Cómo es posible procesar tantos datos en un solo día?”. Cabe destacar que no todas las muestras enviadas siempre son maliciosas. Pero todas estas muestras son potencialmente maliciosas, por lo tanto, cada una de ellas debe ser analizada. Por ejemplo, para el sistema móvil Android los analistas todos los días identifican unas 40 mil de nuevas amenazas.

Por supuesto, un sistema automatizado ayuda muchísimo. Un 93-95% de todas las muestras se procesan correctamente por un sistema especial propio de procesamiento del flujo de virus. La parte restante se investiga por los analistas manualmente, así mismo, el conjunto de software mencionado más arriba les ayuda mucho en su trabajo.

El laboratorio de virus está dividido en varios equipos, cada uno de los cuales se encarga de las tareas específicas.

1. Grupo de desarrollos internos y automatización del análisis.

   Se encarga del desarrollo de la infraestructura del análisis automáticas, honeypots, así como el producto Dr.Web vxCube.

2. Grupo de trabajo con el flujo y las solicitudes de usuarios y del soporte técnico.

   Es el que se encarga del procesamiento del flujo de amenazas entrantes, que no pueden ser procesadas de forma automática. Además, este departamento se encarga de todas las solicitudes de nuestro soporte técnico y clientes.

3. Grupo de investigaciones y análisis de amenazas sofisticadas.

   Aquí se analizan las amenazas sofisticadas y desconocidas, las botnens y los ciberataques. El departamento también se encarga del descifrado de archivos víctimas de extorsionistas, e investiga varios incidentes informáticos vinculados a virus.

4. Grupo de investigación de amenazas móviles.

   Los expertos de este departamento se encargan de varias amenazas para dispositivos móviles.

Hay dos modos de analizar cualquier amenaza. El primero es el así llamado sandbox de pruebas basado en Dr.Web vxCube y modificado para nuestras tareas y necesidades. El segundo modo son las pruebas manuales con máquinas virtuales y emuladores.

¿Cuánto tiempo lleva el análisis manual? Cabe destacar que un analista no siempre debe usar las pruebas dinámicas del software para decidir si el mismo es peligroso. Un analista experto necesita hasta 5 minutos para desensemblar un archivo sospechoso, analizar su código fuente y detectar su estado. Si el archivo es malicioso, el analista lo añade a la base de virus.

Pero en caso de investigaciones importantes de amenazas sofisticadas, cuando nuestro objetivo es entender cómo funcionan las mismas, solo el análisis de la muestra puede llevar hasta una semana, incluida la creación de una descripción técnica no procesada para el uso interno. El tiempo dedicado para esta tarea depende bastante del volumen del código por analizar.

Así mismo, cabe destacar que todas las muestras se ordenan usando varios algoritmos. Si el laboratorio encuentra algo anteriormente desconocido, por ejemplo, una familia de troyanos completamente nueva, los analistas realizan su propia investigación.

¿Cómo el laboratorio de virus recibe todas estas muestras? Hay varias fuentes, por ejemplo, los agregadores de virus, honeypots y las trampas de spam, nuestra telemetría propia y, por supuesto, los usuarios. Casi constantemente se intercambian las muestras con otros vendedores antivirus.

#antivirus #malware #tecnologías_Dr.Web