Tecnologie di rilevamento non basato su firme antivirali

Il laboratorio dei virus Doctor Web riceve fino a un milione di campioni potenzialmente malevoli al giorno.

Non tutti i campioni pervenuti sono programmi malevoli. Tuttavia, tutti devono essere elaborati dai nostri specialisti. Se venissero aggiunte le conoscenze su ogni trojan o virus nuovo in forma di firme antivirali — il database dei virus avrebbe superato tutte le dimensioni ragionevoli, e queste sarebbero solo le conoscenze sui virus noti. Ed essi sono una minoranza!

Esiste SEMPRE il rischio dell'infezione da un virus più recente SCONOSCIUTO.

Gli autori di virus, prima di rilasciare in "natura selvatica" i virus particolarmente complessi e pericolosi, creati per ricavare profitti, li testano su tutti gli antivirus contro il rilevamento, affinché il virus possa esistere inosservato dagli antivirus quanto più a lungo possibile. Pertanto, intercorre sempre un intervallo di tempo tra il rilascio di un trojan dai malintenzionati e il momento in cui un suo campione viene analizzato nel laboratorio dei virus e viene preparato un antidoto. Prima dell'arrivo al laboratorio tali virus non vengono rilevati da nessun antivirus — se esso utilizza solo i metodi di rilevamento basati su firme antivirali (per esempio, gli antivirus gratuiti).

Si ritiene generalmente che un antivirus debba rilevare tutti i programmi malevoli al momento in cui essi si infiltrano nel computer.

Ma solo il 30% del software malevolo viene rilevato da un moderno antivirus tramite le firme antivirali.

Come Dr.Web rileva l'altro 70% del software malevolo?

Nei prodotti Dr.Web, per rilevare e neutralizzare il software malevolo sconosciuto, vengono impiegate molte tecnologie efficaci non basate su firme antivirali, la combinazione delle quali consente di rilevare le minacce più recenti (sconosciute) ancora prima dell'inserimento di un relativo record nel database dei virus.

Analisi euristica

Rilevamento di programmi malevoli sconosciuti sulla base delle conoscenze (euristiche) sulle determinate caratteristiche (sintomi) dei virus — sia sulle caratteristiche tipiche del codice malevolo che al contrario sulle caratteristiche molto rare nei virus.

Le conoscenze euristiche rilevano solo le nuove varianti dei programmi malevoli precedentemente analizzati che hanno un comportamento conosciuto dall'antivirus.

Tecnologia Origins Tracing TM

L'individuazione di virus non ancora aggiunti al database dei virus Dr.Web tramite la scansione del file eseguibile che viene considerato come un campione caratteristicamente costruito, e il confronto del campione ottenuto con il database dei programmi malevoli conosciuti.

Modulo di emulazione di esecuzione

Rilevamento di virus polimorfi e virus composti criptati, quando è impossibile o molto difficile utilizzare direttamente la ricerca per checksum (a causa dell'impossibilità di costruire firme antivirali affidabili), tramite la simulazione dell'esecuzione del codice analizzato dall'emulatore — un modello software del processore (e parzialmente del computer e del sistema operativo).

Tecnologia Fly-Code

Controllo di qualità degli oggetti eseguibili compressi.

Spacchettamento di qualsiasi packer (anche di quelli non standard) tramite il metodo di virtualizzazione dell'esecuzione del file.

Rilevamento dei virus che sono stati compressi persino tramite i packer non conosciuti dal software antivirus Dr.Web.

Analisi integrata delle minacce compresse

Significativo aumento del livello di rilevamento delle minacce apparentemente "nuove" — conosciute dal database dei virus Dr.Web, ma nascoste sotto i packer nuovi.

Elimina la necessità di aggiungere sempre più record sulle minacce al database dei virus.

Tecnologia Script Heuristic

Impedisce l'esecuzione di qualsiasi script malevolo nel browser e in documenti PDF senza compromettere le funzionalità degli script legittimi.

Protegge dalle infezioni da virus sconosciuti attraverso il browser.

Funziona indipendentemente dallo stato del database dei virus Dr.Web insieme a qualsiasi browser.

Tecnologia di analisi dell'entropia strutturale

Rilevamento delle minacce sconosciute sulla base delle caratteristiche della posizione delle porzioni di codice negli oggetti controllati protetti da programmi crypto-packer.