De Como funciona o software antivírus? (AntivirusWorld):
Um programa antivírus é um programa de computador que pode ser usado para verificar arquivos para identificar e eliminar vírus de computador e outro software malicioso (malware).
O software antivírus geralmente usa duas técnicas diferentes para fazer isso:
- Examinando arquivos para procurar vírus conhecidos por meio de um dicionário de vírus Identificando comportamentos suspeitos em qualquer programa de computador que possa indicar infecção
- A maioria dos softwares antivírus comerciais usa essas duas abordagens, com ênfase na abordagem de dicionário de vírus.
Abordagem de dicionário de vírus
Na abordagem de dicionário de vírus, quando o software antivírus examina um arquivo, refere-se a um dicionário de vírus conhecidos que foram identificados pelo autor do software antivírus. Se um trecho de código no arquivo corresponder a qualquer vírus identificado no dicionário, o software antivírus poderá excluir o arquivo, colocá-lo em quarentena para que o arquivo fique inacessível a outros programas e seu vírus não possa se espalhar ou tente para reparar o arquivo removendo o próprio vírus do arquivo.
Para ter sucesso a médio e longo prazo, a abordagem do dicionário de vírus requer downloads online periódicos de entradas atualizadas do dicionário de vírus. À medida que novos vírus são identificados "in natura", os usuários de espírito cívico e tecnicamente inclinados podem enviar seus arquivos infectados aos autores do software antivírus, que depois incluem informações sobre os novos vírus em seus dicionários.
O software antivírus baseado em dicionário normalmente examina os arquivos quando o sistema operacional do computador os cria, abre e fecha; e quando os arquivos forem enviados por email. Dessa maneira, um vírus conhecido pode ser detectado imediatamente após o recebimento. O software também pode ser programado para examinar todos os arquivos no disco rígido do usuário regularmente.
Embora a abordagem do dicionário seja considerada eficaz, os autores de vírus tentaram ficar um passo à frente desse software escrevendo "vírus polimórficos", que criptografam partes de si mesmos ou se modificam como método de disfarce, para não coincidir com a assinatura do vírus. no dicionário.
Abordagem de comportamento
suspeito A abordagem de comportamento suspeito, por outro lado, não tenta identificar vírus conhecidos, mas monitora o comportamento de todos os programas. Se um programa tentar gravar dados em um programa executável, por exemplo, isso será sinalizado como comportamento suspeito e o usuário será alertado sobre isso, e perguntado o que fazer.
Ao contrário da abordagem de dicionário, a abordagem de comportamento suspeito fornece proteção contra vírus novos que ainda não existem em nenhum dicionário de vírus. No entanto, também soa um grande número de falsos positivos, e os usuários provavelmente ficam dessensibilizados com todos os avisos. Se o usuário clicar em "Aceitar" em cada aviso, o software antivírus é obviamente inútil para esse usuário. Esse problema foi especialmente agravado nos últimos sete anos, pois muitos outros designs de programas não maliciosos optaram por modificar outros .exes sem considerar esse problema de falso positivo. Assim, a maioria dos softwares antivírus modernos usa essa técnica cada vez menos.
Outras maneiras de detectar vírus
Alguns softwares antivírus tentarão emular o início do código de cada novo executável que está sendo executado antes de transferir o controle para o executável. Se o programa parece estar usando código auto-modificável ou aparece como um vírus (ele imediatamente tenta encontrar outros executáveis), pode-se supor que o executável foi infectado por um vírus. No entanto, esse método resulta em muitos falsos positivos.
Ainda outro método de detecção está usando uma sandbox. Uma caixa de areia emula o sistema operacional e executa o executável nesta simulação. Após o término do programa, a sandbox analisa as alterações que podem indicar um vírus. Devido a problemas de desempenho, esse tipo de detecção normalmente é realizado apenas durante verificações sob demanda.
Questões de preocupação
Os vírus de macro, sem dúvida os vírus de computador mais destrutivos e difundidos, poderiam ser evitados de maneira mais barata e eficaz e sem a necessidade de todos os usuários comprarem software antivírus, se a Microsoft corrigisse falhas de segurança no Microsoft Outlook e no Microsoft Office relacionadas ao execução de código baixado e capacidade das macros de documentos de espalhar e causar estragos.
A educação do usuário é tão importante quanto o software antivírus; simplesmente treinar os usuários em práticas seguras de computação, como não baixar e executar programas desconhecidos da Internet, retardaria a propagação de vírus, sem a necessidade de software antivírus.
Os usuários de computador nem sempre devem executar com acesso de administrador à sua própria máquina. Se eles simplesmente rodassem no modo de usuário, alguns tipos de vírus não seriam capazes de se espalhar.
A abordagem de dicionário para detectar vírus geralmente é insuficiente devido à criação contínua de novos vírus, mas a abordagem de comportamento suspeito é ineficaz devido ao problema de falso positivo; portanto, o entendimento atual do software antivírus nunca conquistará vírus de computador.
Existem vários métodos para criptografar e compactar software malicioso que tornarão até vírus conhecidos indetectáveis para software antivírus. A detecção desses vírus "camuflados" requer um poderoso mecanismo de descompactação, que pode descriptografar os arquivos antes de examiná-los. Infelizmente, muitos programas antivírus populares não possuem isso e, portanto, geralmente não conseguem detectar vírus criptografados.
As empresas que vendem software antivírus parecem ter um incentivo financeiro para a criação e disseminação de vírus, e para o público entrar em pânico com a ameaça.
(Gosto deste artigo e apenas copio e colo do AntivirusWorld.)