Три заблуждения, связанных с антивирусами: сигнатуры, вирусы и лечение

Тема в разделе "Аналитические статьи", создана пользователем akok, 15 окт 2016.

  1. akok
    Оффлайн

    akok Команда форума Администратор

    Сообщения:
    12.432
    Симпатии:
    13.941
    Мы много и часто рассказываем о правилах поведения (а может, даже и выживания) в Интернете, да и в цифровом мире в целом. Очень надеемся, что делаем это все не зря, — что люди учатся и потом учат своих близких. Это правда очень важно.

    [​IMG]

    Однако во всех этих рассказах встречается немало специфических терминов, которые кто-то может не знать или понимать неверно. Сегодня мы поговорим о трех самых распространенных заблуждениях, связанных с антивирусами, и попробуем объяснить, почему мы называем определенные вещи так, а не иначе.

    Заблуждение первое: сигнатуры — это что-то устаревшее
    Так исторически сложилось, что антивирусные базы в разговоре и даже статьях часто называют сигнатурами. В действительности же классические сигнатуры, пожалуй, ни один антивирус не использует уже лет 20.

    Проблема возникла из-за того, что с самого начала — а это восьмидесятые годы — понятие «сигнатуры» не было определено четко. Например, отдельной статьи про них в «Википедии» нет даже сейчас, а в статье про вредоносные программы понятие «сигнатуры» используется без определения — как нечто всем известное.

    Давайте же это определение дадим. Классическая вирусная сигнатура — это непрерывная последовательность байтов, характерная для той или иной вредоносной программы. То есть она содержится в этом вредоносном файле и не содержится в чистых файлах.

    [​IMG]
    Например, характерная последовательность байтов может быть такой

    Проблема в том, что сегодня с помощью таких классических сигнатур определить вредоносный файл достаточно проблематично — их создатели используют различные техники для того, чтобы запутать следы. Поэтому современные антивирусы используют значительно более продвинутые методы. И хотя в антивирусных базах примитивных записей по-прежнему много (больше половины), но есть еще и очень много умных записей.

    Все это продолжают по старинке называть сигнатурами. И ладно бы просто называли — в общем-то, ничего страшного. Но это название зачастую используется уничижительно: мол, сигнатуры — устаревшие технологии. А на самом деле в этих «устаревших сигнатурах» порой какое-нибудь «разбиение пространства исполняемых файлов на кластеры в результате работы нейронной сети», которое никто и словами-то доступно не может описать.

    В идеале стоило бы отказаться от использования самого термина «сигнатура» в смысле «любая запись в антивирусной базе». Но уж слишком прочно это слово вошло в обиход, да и альтернативного термина пока не придумали, так что все продолжают по привычке пользоваться им.

    Поэтому важно иметь в виду, что само по себе слово «сигнатура» на самом деле не говорит ничего о продвинутости или примитивности.

    Антивирусная запись — это запись, а стоящая за ней технология может быть как классической, простенькой, так и суперсовременной и навороченной, нацеленной на детектирование самых запутанных и высокотехнологичных вредоносных файлов или даже целых семейств вредоносов.

    Заблуждение второе: вирусы — это любые вредоносные программы
    Вы наверняка отмечали, что вирусные аналитики нашей компании избегают употребления слова «вирус», предпочитая ему странноватые слова вроде «вредонос» или «зловред», а между собой часто говорят «малвара». Делаем мы это вовсе не из суеверия или профессионального пафоса.

    Дело в том, что «Virus» — это вполне конкретная разновидность вредоноса, отличающегося очень специфическим поведением: это зловред, который заражает собой другие, чистые файлы. Вирусные аналитики также используют для этого типа вредоносных программ термин «инфекторы».

    Инфекторы в вирусной лаборатории пользуются особым статусом. Во-первых, их чуть сложнее распознать — с виду файл чистый, а на самом деле в нем инфекция. Во-вторых, они требуют особого подхода: почти всегда для них нужна специальная процедура лечения и, как правило, еще и особая процедура детектирования. Поэтому инфекторами занимаются люди, специализирующиеся именно на этом типе угроз.

    [​IMG]
    Классификация вредоносных программ

    И вот для того, чтобы не путать «вирус» в обывательском смысле с вполне определенной категорией зловредов, вирусные аналитики, в том числе и в разговоре с прессой, употребляют слова «вредонос» или «зловред», когда речь идет о вредоносных программах в целом.

    И раз уж мы заговорили о правильных терминах, то вот еще несколько. «Червь» — это вредонос, способный к самостоятельному распространению за пределы одного устройства. А «малвара» (malware), если следовать точной классификации, не включает в себя «адвару» (adware) — грубое рекламное ПО — и «рисквару» (riskware) — легальное ПО, которое может нанести вред пользователю, если установлено не им, а злоумышленниками.

    Заблуждение третье: антивирус не умеет лечить
    Мне встречалось такое заблуждение, будто антивирус сканирует и детектирует, а если что-то найдет, то потом надо скачивать специальную лечащую утилиту и использовать уже ее. Отдельные утилиты для особо популярных зловредов у нас действительно есть — например, специализированные утилиты, позволяющие бесплатно расшифровать файлы, зашифрованные вымогателями. Но и антивирус справляется с лечением ничуть не хуже. А в подавляющем большинстве случаев — даже лучше, за счет драйверов в системе и других технологий, которые в утилиту не запихнешь.

    Лечение заключается в следующем. В 1% случаев, когда пользователю антивируса «посчастливилось» натолкнуться именно на вирус — инфектор (причем, скорее всего, еще до установки антивируса, иначе бы зловред просто не запустился), антивирус действительно будет перебирать все зараженные файлы на компьютере и производить процедуру дезинфекции — восстанавливать оригинал. Кстати, то же самое антивирус будет делать, если потребуется расшифровать файлы, зашифрованные вымогателем-шифровальщиком — зловредом класса Trojan-Ransom.

    А в остальных 99% случаев, когда зловред ничего не инфицирует, а просто делает (или собирается делать) свое черное дело, лечение действительно состоит в банальном удалении файла зловреда. Просто потому, что заражения других файлов нет, так что и лечить их не требуется. Уничтожаем файл — и система здорова.

    [​IMG]
    В большинстве случаев лечение как таковое не требуется, достаточно просто удалить вредоносный файл

    Но тут есть одно исключение — если зловред уже работает в системе (а не просто лежит на диске), то антивирус переходит в состояние «Лечение активного заражения», чтобы все сделать надежно и до конца, без рецидивов. Вот здесь можно прочитать полное описание данной врачебной процедуры.

    Кстати, ситуация такая возникает обычно по двум причинам:

    1. Антивирус устанавливают на уже зараженное устройство: «Заразился? Пора подумать и о защите».
    2. Антивирус не смог определить угрозу на диске до запуска, поэтому запуск разрешил, но пометил программу как подозрительную и перешел к активному мониторингу выполняемых ею действий. Если действия программы действительно «неправильные», то она будет определена как вредоносная. В этом случае, кстати, антивирус при лечении также осуществит откат всех произведенных зловредом действий (он же их не зря мониторил и запоминал): например, восстановление из бэкапа-на-лету зашифрованных файлов пользователя, если речь идет о шифровальщике или инфекторе.



    Заключение
    На сегодня все. Надеюсь, теперь вы:

    1. Будете понимать, что «сигнатурами» в наше время принято называть любые антивирусные базы, в том числе и самые высокотехнологичные, а сигнатуры в классическом понимании уже не используются в антивирусной индустрии.
    2. Лучше понимаете, кто есть кто в мире вредоносных программ.
    3. Наконец понимаете, что лечение устройства, компьютера или смартфона, от заражения — это штатная обязанность антивируса. А еще — что ни в коем случае не стоит выключать компонент «Мониторинг активности»

      Daily - Russian - Russia - blog.kaspersky.ru
     
    Phoenix, Kиpилл, shestale и 2 другим нравится это.
  2. Сергей
    Оффлайн

    Сергей Активный пользователь

    Сообщения:
    252
    Симпатии:
    120
    Интересная декция.
    Я вирусы-инфекторы называл троянами или беременными файлами, а вирусами называл размножающиеся вредоносы. ,Оказывается, это не так.
     
  3. shestale
    Оффлайн

    shestale Ассоциация VN/VIP Преподаватель

    Сообщения:
    8.016
    Симпатии:
    4.474
    Заметил, что последнее время так в основном только шифровальщиков и называют.
    Короткая память.., а ведь совсем недавно к вымогателям относили только зловредов, которые запрещали доступ к системе, а еще раньше зловредов, которые вымогали за разрешение доступа к папкам или файлам на компьютере.
     
    Kиpилл нравится это.
  4. Kиpилл
    Оффлайн

    Kиpилл Команда форума Администратор

    Лучший автор месяца

    Сообщения:
    12.198
    Симпатии:
    4.970
    Но при этом резануло пиаром))
    Особенно та часть,где юзер должен поверить что заражение с каспером практически невозможно.
    Эдакий 25 кадр.
    Написано профессионально.
    Но в целом материал неплох.
     

Поделиться этой страницей