Motores antivirus. Componentes principales de IObit Malware Fighter. Antivirus y optimizadores combinados

Muy a menudo en Internet surgen preguntas sobre qué antivirus carga menos el sistema, cuál es adecuado para una computadora débil y al mismo tiempo cumplirá plenamente su función principal. Hay muchas clasificaciones y listas diferentes, pero todas difieren significativamente entre sí y no pueden dar a los usuarios una respuesta definitiva.

Por eso, hoy veremos los mejores antivirus que no cargan el sistema, adecuados para PC débiles, y tú elegirás el más óptimo para ti.

Al compilar esta lista, nos basamos en las siguientes características:

• Procesador: 0,5 – 1,5 GHz.
• RAM: 128-256 MB.
• Espacio en disco duro: 15-300 MB.

Anteriormente hubo un artículo similar sobre antivirus para máquinas débiles, pero en él analizamos a los defensores, partiendo de una mayor cantidad de RAM (256MB-1GB) y procesador (a partir de 1,5GHz). Si su PC o portátil supera estas especificaciones, le recomendamos que se familiarice con él.

Todas las soluciones propuestas tienen sus ventajas y desventajas, y también difieren en los requisitos del sistema. Echemos un vistazo más de cerca a cada uno, sus características y funciones.

Seguridad de Internet AhnLab V3

Un antivirus coreano que carga menos el sistema y proporciona una protección informática eficaz mientras consume un mínimo de recursos del sistema. Tiene todas las características para mantener una seguridad completa, protege contra malware y evita la instalación de spyware.

El programa protege su computadora portátil o PC en tiempo real, filtra sitios con contenido peligroso, archivos adjuntos en correos electrónicos y optimiza el rendimiento del sistema. La utilidad opera con tecnología de nube y se caracteriza por un número mínimo de falsos positivos. La función adicional TrueFind ayuda a detectar a tiempo la eliminación incluso de rootkits ocultos.

La utilidad tiene los siguientes requisitos del sistema.:

• Procesador: desde 0,5 GHz y más.
• RAM: desde 256 MB.
• Espacio libre en disco: desde 300 MB.
• Admite sistemas operativos desde Windows XP hasta Windows 10.

Según los datos disponibles, podemos decir con seguridad que el antivirus no ralentiza el sistema. Además, la utilidad elimina datos no utilizados y otra basura para mejorar el rendimiento y normalizar el trabajo.

Antivirus gratuito ClamWin

Otra solución gratuita que está disponible gratuitamente en Internet. Sería más correcto llamar escáner a esta utilidad, ya que no tiene un escáner que verifique constantemente los archivos que se utilizan. Esto significa que si desea encontrar un virus, debe ejecutar manualmente un análisis de archivos.

El programa tiene una interfaz clara, una rica funcionalidad y varias configuraciones diferentes. También hay funciones adicionales, como escaneo a la hora que usted establezca, notificaciones sobre detección de malware, actualizaciones automáticas de la base de datos y una fácil integración en el menú de Windows que lo hace más accesible.

Si hablamos de requisitos del sistema, son los siguientes.:

• Procesador: 1,5 GHz.
• Disco duro: 103 MB.
• RAM: 256 MB.
• Compatible con Windows XP/Vista/7/8/10.

Es decir, el escáner antivirus presentado consume un mínimo de recursos y de ninguna manera ralentiza la computadora.

SMADAV

Un excelente antivirus que actúa como protección adicional contra malware. Es la segunda línea de defensa y es totalmente compatible con cualquier otra utilidad antivirus. El programa utiliza análisis heurístico y de comportamiento para detectar y eliminar virus lo más rápido posible. Esto es lo que garantiza un alto nivel de seguridad. Debido a la pequeña cantidad de recursos utilizados, la utilidad no reduce el rendimiento incluso con un uso activo.

Tiene una gama de herramientas efectivas. Para empezar, vale la pena hablar del escaneo estándar, que se presenta en 3 tipos:

• Rápido.
• Completo.
• Escaneando el área del sistema.

Además, SMADAV está equipado con un editor del sistema, con el que puede seleccionar elementos específicos, se mostrarán en Inicio y deshabilitará las aplicaciones del sistema. También vale la pena prestar atención al administrador de procesos, que le permite ver los procesos en ejecución y, si es necesario, finalizarlos.

Requisitos del sistema:

• Procesador: Intel Pentium III o superior.
• RAM: 256 MB.
• Disco duro – 100 MB.
• Funciona en todos los sistemas operativos Windows.

Considerando sus características, este es un excelente programa antivirus que no ralentiza el sistema ni reduce el rendimiento del ordenador.

Webroot SecureAnywhere AntiVirus

Panda Antivirus Gratis

Antivirus en la nube con baja carga del sistema y protección confiable en tiempo real. El programa combina antivirus, anti-rootkit y anti-spyware remoto y local. El modelo en la nube no requiere una gran cantidad de recursos y no afecta la funcionalidad y el rendimiento del sistema. Además, este principio operativo le permite detectar y bloquear malware de manera más eficiente y rápida.

Debe entenderse que un antivirus puede ralentizar su computadora solo si no hay suficientes recursos de la PC para su correcto funcionamiento, por lo que al elegir un software de seguridad, siempre tenga en cuenta las características de su dispositivo.

Revisión detallada en video de AVG Free

No hay duda de que uno de los programas más importantes de una computadora es un antivirus. ¡Incluso un virus que “accidentalmente” ingrese a tu PC puede hacer que trabajar en él sea insoportable! Además, sería “bueno” que el virus solo mostrara un anuncio, pero hay virus que pueden destruir decenas de archivos en un disco (en el que se puede haber trabajado durante meses).

Hace unos 10 o 15 años, el número de antivirus era relativamente pequeño y la elección se limitaba a una docena. ¡Ahora hay cientos de ellos!

En este artículo quiero centrarme en los más populares en la actualidad (en mi opinión). Creo que muchas personas encontrarán útil esta información para limpiar y proteger las PC de su hogar. Y entonces comencemos...

Puede comprar claves antivirus a precios asequibles por debajo de los precios de mercado en...

Los 10 mejores programas antivirus para proteger su computadora

Malwarebytes Anti-Malware

Malwarebytes Anti-Malware no es el antivirus al que están acostumbrados la mayoría de los usuarios. Este programa (en mi opinión) es más adecuado como complemento del antivirus principal, pero, aun así, ¡ayudará a realizar una tarea importante!

Malwarebytes 3.0 está equipado con varios módulos especializados:

• Antimalware
• Protección contra ransomware
• Protección contra exploits
• Protección contra sitios web maliciosos

La mayoría de los antivirus son malos (al menos hasta ahora) a la hora de encontrar y eliminar varios módulos de adware que suelen estar integrados en los navegadores (por ejemplo). Debido a esto, comienzan a aparecer varias ventanas publicitarias, teasers, banners (a veces de sitios para adultos), etc. Malwarebytes Anti-Malware limpiará rápida y fácilmente su PC de dicha "basura".

Características de Malwarebytes Free (versión gratuita)

• Capacidad para escanear todas las unidades para una verificación completa del sistema.
• La base de datos de firmas se actualiza diariamente para proteger contra el malware más reciente.
• Detección heurística inteligente incluso de las amenazas más persistentes sin un impacto significativo en los recursos del sistema.
• Agregar amenazas detectadas a Cuarentena y la capacidad de restaurarlas en un momento conveniente.
• Lista negra de excepciones para módulos de escaneo y protección.
• Lista de utilidades adicionales para eliminar malware manualmente (Malwarebytes Anti-Rootkit, Malwarebytes FileASSASSIN, StartupLite, Chameleon).
• Tecnología dinámica Malwarebytes Chameleon que permite que Malwarebytes Anti-Malware se ejecute cuando está bloqueado por malware.
• Soporte multilingüe.
• Integración en el menú contextual para escanear archivos bajo demanda.

Funciones premium de Malwarebytes

Malwarebytes es gratuito, pero puede actualizar a una versión Premium que brinda protección, escaneo y actualizaciones programadas en tiempo real.

• La protección en tiempo real funciona con los principales programas antivirus para hacer que su computadora sea más segura.
• La protección en tiempo real detecta y bloquea las amenazas cuando intentan ejecutarlas.
• Protección contra exploits en tiempo real: elimina vulnerabilidades a exploits y malware de día cero
• Protección contra ransomware en tiempo real: evita que el ransomware cifre sus archivos.
• El bloqueo de sitios web maliciosos impide el acceso a recursos web maliciosos e infectados.
• Disponibilidad del modo "Escaneo rápido" para verificar áreas críticas del sistema: RAM y objetos de inicio.
• Opciones adicionales. Configure el comportamiento de protección de Malwarebytes Premium para usuarios avanzados.
• Actualizaciones programadas para mantener automáticamente actualizada su protección.
• Exploraciones programadas para controles periódicos en el momento que más le convenga.
• Configuración de protección con contraseña para evitar cambios no autorizados en los componentes de seguridad de Malwarebytes Premium.

Vale la pena considerar que no todo lo escrito estará disponible ni funcionará en la versión gratuita del programa. Para que el software funcione al nivel adecuado, debe instalar la versión Premium

Sistema avanzado Care Ultimate

Me parece que muchos usuarios suelen estar insatisfechos con una "cualidad" de la mayoría de los antivirus: ralentizan la computadora... Entonces, en este sentido, un producto muy interesante es Advanced SystemCare Ultimate, un antivirus con programas integrados para optimizando, limpiando y acelerando el sistema operativo Windows.

El antivirus, debo decirles, es bastante confiable (se utilizan tecnologías BitDefender) + los propios algoritmos del programa. Protege su PC de: espías, troyanos, scripts peligrosos, garantiza un trabajo seguro con sistemas de pago en Internet (relevante, especialmente recientemente con el desarrollo de los bancos de Internet).

Por cierto, el programa es compatible con muchos antivirus (es decir, se puede instalar como complemento para brindar protección adicional). Además, no afectará en gran medida la velocidad y el rendimiento de su PC. Hemos descrito cómo maximizar la velocidad y la productividad utilizando Advanced SystemCare Ultimate.

Máxima protección y máximo rendimiento

• Protección contra virus, spyware, hackers, phishing, botnets, etc.
• Seguridad de pagos y transacciones bancarias en Internet
• Optimiza, limpia y soluciona todos los problemas de la PC en 1 clic
• Funciona rápidamente, compatible con otros antivirus.

Nuevo en IObit Malware Fighter

• Se agregó el motor antivirus Bitdefender;
• Motor IObit mejorado;
• La base de datos de firmas se ha actualizado y ampliado significativamente;
• Velocidad de escaneo mejorada adaptando el mecanismo de almacenamiento en caché;
• Se ha minimizado el consumo de recursos durante el escaneo y la limpieza;
• Protección mejorada en tiempo real;
• Nuevo método de cuarentena;
• Nueva interfaz de usuario simplificada y cómoda;
• Protección web mejorada;
• Soporte completo para Windows 10.

Componentes principales de IObit Malware Fighter

Seguridad

Protección de inicio
· Protección de red
· Protección de archivos
· Consultar archivos en la nube
· Protección de cookies
· Bloqueador de publicidad en navegadores
· Motor antivirus Bitdefender Pro
Protección de procesos Pro
· Protección de unidad USB Pro
· Seguimiento de actividades maliciosas Pro

Protección del navegador

· Homepage Defender protege tu página de inicio y motor de búsqueda de modificaciones maliciosas.
· Protección DNS: evita que el malware cambie la configuración DNS del sistema.
· Protección de navegación: bloquea varias amenazas en línea para brindarle una experiencia de navegación web segura.
· Protege tu navegador de complementos/barras de herramientas maliciosos.
· Antiespionaje: borra automáticamente los datos del navegador de seguimiento malicioso tan pronto como se cierra. Pro

Uno de los mejores antivirus gratuitos. Cada año está ganando más y más popularidad. Las ventajas del antivirus son obvias:

1. algunos de los mejores algoritmos para buscar y detectar virus (incluso aquellos que el antivirus aún no conoce y no están incluidos en las bases de datos de actualización);
2. soporte para todos los sistemas operativos Windows populares (incluido Windows 10);
3. bajos requisitos del sistema para PC (funciona lo suficientemente rápido incluso en máquinas antiguas);
4. una versión gratuita completamente funcional del antivirus.

Componentes principales de Avast Free Antivirus

(1) El componente está disponible por una tarifa adicional (RUB 1500/año)
(2) El componente está disponible por una tarifa adicional (desde 650 RUB/año)

Comparación de versiones

Características/versiones	Gratis	Pro	ES*	Primer ministro
antivirus	✔	✔	✔	✔
Protección espía	✔	✔	✔	✔
Actualizaciones de transmisión	✔	✔	✔	✔
Modo reforzado	✔	✔	✔	✔
Captura cibernética	✔	✔	✔	✔
No realizar seguimiento, corregir el sitio	✔	✔	✔	✔
Protección contra phishing y malware	✔	✔	✔	✔
Seguridad de la red doméstica	✔	✔	✔	✔
Escanear HTTPS	✔	✔	✔	✔
Escaneo inteligente	✔	✔	✔	✔
Contraseñas	✔	✔	✔	✔
Navegador SafeZone	✔	✔	✔	✔
Actualizador de software**	✔	✔	✔	✔
Salvadera	✗	✔	✔	✔
DNS seguro	✗	✔	✔	✔
Antispam	✗	✗	✔	✔
Cortafuegos	✗	✗	✔	✔
trituradora de archivos	✗	✗	✗	✔
Limpieza***	✔	✔	✔	✔
VPN de línea segura***	✔	✔	✔	✔

* IS - Versión de seguridad de Internet.
** La instalación de Software Updater en Premier se produce automáticamente, en otras versiones se instala manualmente.
***Limpieza, SecureLine VPN: complementos pagos para todas las versiones

Novedades de la actualización Nitro de Avast Free Antivirus

Nuevas funciones y tecnologías.

Nuevas funciones: CyberCapture, navegador SafeZone.

Mejoras: Seguridad de la red doméstica, protección antivirus y contra malware.

Características clave de Avast Free Antivirus

¡Nuevo! Captura cibernética

Esta tecnología patentada de AVAST Software le permite enviar automáticamente archivos desconocidos al Avast Online Threat Lab. Nuestros analistas revisan cuidadosamente los archivos potencialmente peligrosos en tiempo real, eliminando el más mínimo riesgo de infectar su PC.

¡Nuevo! Navegador SafeZone

Diseñado para hacer que la navegación por la web sea más segura y cómoda, SafeZone es también el navegador más seguro del mundo. El modo de pago seguro garantiza total privacidad al comprar y realizar operaciones bancarias en línea, Ad Blocker garantiza que no le molesten los anuncios y Video Downloader le permite ver videos sin conexión en el momento que más le convenga.

¡Mejorado! Seguridad de la red doméstica

Protección aún más avanzada para su red doméstica y todos los dispositivos conectados a ella. Gracias a la nueva tecnología Nitro, Avast Free Antivirus puede detectar más tipos de vulnerabilidades de enrutadores, lo que brindará una protección aún más confiable para cámaras Wi-Fi, SMART TV, impresoras, unidades de red y enrutadores.

Contraseñas de Avast

Es hora de romper con el mal hábito de almacenar sus contraseñas en su navegador o usar la misma contraseña para múltiples servicios. El nuevo administrador de contraseñas de Avast le permite almacenar todas sus contraseñas en una bóveda segura y conveniente con solo una contraseña maestra para recordar.

Escanear HTTPS

Un escudo web mejorado permite a Avast Free Antivirus escanear minuciosamente los sitios HTTPS en busca de malware y otras amenazas. Puede incluir en la lista blanca sus sitios y certificados de banca en línea para que el escaneo no ralentice el acceso a los servicios.

Limpieza del navegador

No permita que otros cambien su servicio de búsqueda sin su permiso. Limpiar su navegador eliminará todos los complementos y barras de herramientas cuestionables para que pueda volver a la configuración original de su navegador.

¡Único! 230 millones de usuarios

230 millones de usuarios en todo el mundo han elegido la solución Avast, que permite al antivirus detectar malware mucho más rápido que otros e independientemente de dónde aparezca. La combinación de motores de inteligencia artificial de última generación en el corazón del programa antivirus y millones de sensores de virus en todo el mundo permite a Avast Free Antivirus detectar y eliminar continuamente las últimas ciberamenazas, manteniéndote 100% seguro.

¡Mejorado! Protección antivirus y antimalware

Los desarrolladores trabajan constantemente para mejorar el innovador motor antivirus y brindarle una protección confiable contra todo tipo de amenazas cibernéticas. Con actualizaciones constantes del tamaño de un mensaje de texto, Avast distribuye nueva inteligencia sobre amenazas varias veces por hora para garantizar que su antivirus esté siempre actualizado.

Tecnología de escaneo inteligente

Escaneo inteligente integral para todo tipo de problemas. Escanee su PC para conocer el estado de rendimiento, asegúrese de que no haya amenazas, malware o virus en línea y encuentre programas obsoletos con solo un clic. La forma más fácil de mantenerse completamente seguro.

Actualizador de software

A los piratas informáticos les encanta explotar las vulnerabilidades del software obsoleto para ingresar a los sistemas. Software Updater le notifica cuando hay actualizaciones disponibles para los programas que utiliza, para que pueda corregir cualquier vulnerabilidad más rápido de lo que los atacantes pueden explotarlas.

Integración con MyAvast

¿Smartphone, PC y tablet protegidos por Avast? ¡Asombroso! Puede controlar y administrar dispositivos a través de su cuenta personal directamente en la interfaz de usuario del programa

AVG

Un antivirus muy, muy bueno, que, por cierto, ha ganado numerosos premios. Existe una versión gratuita disponible que puede cubrir las necesidades de la mayoría de los usuarios. Juzgue usted mismo, la versión gratuita incluye: un antivirus (que protege en tiempo real contra virus, software espía, etc.), un complejo de protección contra enlaces peligrosos en Internet, así como un complejo de protección del correo electrónico.

Por cierto, el antivirus se puede instalar no solo en una computadora portátil (computadora), ¡sino también en un teléfono! En general, el antivirus es muy decente, protege bien tu PC (y funciona bastante rápido).

Antivirus Bitdefender

Un antivirus muy conocido que proporciona una protección integral de la computadora: antivirus, firewall, complejo para una mayor protección de los datos personales. Por cierto, en muchas clasificaciones independientes este antivirus se encuentra en la cima.

Entre las características de este antivirus puedo destacar las siguientes:

• protección de todo y de todos (el usuario prácticamente no necesita distraerse con pensamientos sobre la protección de la PC; el programa en sí lo sabe todo: qué, dónde y cuándo debe bloquearse...);
• bajo consumo de recursos del sistema (por ejemplo, 100-200 MB de RAM cuando se trabaja en Windows 10 con documentos);
• Interfaz cómoda e intuitiva.

Características clave de Bitdefender Antivirus Free Edition

Protección en tiempo real- La pantalla en tiempo real brinda protección durante el acceso. Todos los archivos se analizan en el momento en que se inician o copian. Por ejemplo, los archivos que acaba de descargar de Internet se analizan inmediatamente.

Tecnologías en la nube- Bitdefender Antivirus Free Edition utiliza el escaneo en la nube para acelerar la detección e identificar amenazas nuevas o desconocidas que otros antivirus pasan por alto.

Control activo de virus- innovadora tecnología de detección proactiva que utiliza heurísticas avanzadas para identificar nuevas amenazas potenciales en tiempo real. La heurística antivirus gratuita de Bitdefender proporciona un alto nivel de protección contra nuevas amenazas que aún no se han agregado a las firmas de virus. El control activo de virus de Bitdefender Antivirus Free Edition monitorea cada programa que se ejecuta en su computadora e identifica los maliciosos en función de sus acciones.

escaneo HTTP– El antivirus gratuito Bitdefender analiza y bloquea sitios web fraudulentos y de phishing.

Anti-rootkit- la tecnología se utiliza para buscar malware oculto, también conocido como rootkits. Los rootkits son un tipo oculto de software, a menudo malicioso, diseñado para ocultar ciertos procesos o programas de los métodos de detección normales, al tiempo que permiten a los rootkits obtener acceso privilegiado a una computadora.

Actualización periódica- Bitdefender Antivirus Free Edition se actualiza periódicamente sin intervención del usuario, lo que garantiza el nivel óptimo de protección contra nuevas amenazas.

Escaneo temprano al iniciar el sistema- Esta tecnología garantiza que el sistema se verifique durante el arranque, tan pronto como se estén ejecutando todos los servicios importantes. Le permite mejorar la detección de virus al iniciar el sistema, así como acelerar el tiempo de inicio.

Escanear mientras está inactivo– El antivirus gratuito Bitdefender detecta cuando el uso de recursos de la computadora es mínimo para escanear el sistema sin afectar la actividad del usuario. El uso de recursos del sistema se calcula teniendo en cuenta el uso del procesador (CPU) y de la unidad de disco duro (HDD).

Tecnología de escaneo inteligente- Los archivos que fueron analizados previamente por Bitdefender Antivirus Free Edition no se volverán a analizar utilizando el motor de análisis de omisión inteligente de archivos.

Avira libre 2015

El antivirus más famoso fabricado en Alemania (“paraguas”, “paraguas rojo”, como lo llamaban muchos en nuestro país). Proporciona un buen grado de protección de la PC (por cierto, los algoritmos de búsqueda y detección de virus se encuentran entre los mejores entre los programas de este tipo), alto rendimiento (recuerdo que hace 5 o 6 años recomendé instalar este antivirus incluso en computadoras portátiles económicas),

1. Soporte de idioma ruso;
2. soporte para todos los sistemas operativos Windows populares: XP, 7, 8, 10 (32/64 bits);
3. bajos requisitos del sistema;
4. excelentes algoritmos para buscar y detectar virus y posibles amenazas a las PC;
5. interfaz fácil de usar (todo lo innecesario está oculto para los principiantes, pero aún así es accesible para usuarios experimentados).

Características clave de Avira Free Antivirus

Antivirus y antispyware

Protección eficaz en tiempo real y bajo demanda contra diversos tipos de malware: virus, troyanos, gusanos de Internet, spyware y adware. Las actualizaciones automáticas constantes y la tecnología heurística AHeAD protegen de manera confiable contra amenazas nuevas y conocidas.

Protección en la nube

Tecnología de protección en la nube Avira Protection Cloud: clasificación de amenazas en tiempo real y escaneo rápido del sistema.

Protección de rootkits

Avira anti-rootkit protege contra amenazas difíciles de detectar: ​​los rootkits.

Administrar el firewall de Windows

Avira Free Antivirus le permite editar reglas de red para aplicaciones, cambiar perfiles de red (privada, pública) y administrar configuraciones avanzadas para Firewall de Windows con seguridad avanzada.

protección de internet **

Búsqueda segura, bloqueo de sitios web maliciosos y de phishing, protección de seguimiento.

** Esta característica es parte de la barra de herramientas. Seguridad del navegador Avira para los navegadores Chrome, Firefox y Opera (instalado por separado de Avira Free Antivirus).

Controles parentales

No disponible en la versión rusa. Para utilizarlo, puede utilizar el enlace al servicio en la descripción.

Con redes sociales basadas en tecnología Escudo social gratuito de Avira Puede monitorear las actividades en línea de sus hijos revisando sus cuentas de redes sociales en busca de comentarios, fotos, etc. que puedan influir negativamente en su hijo.

Protección de dispositivos Android

La solución antivirus Avira Free Antivirus, además de proteger su computadora de diversas amenazas, ofrece instalar una aplicación Avira Antivirus Seguridad para Android, que protegerá su teléfono inteligente o tableta contra pérdida y robo, y también le permitirá bloquear llamadas y mensajes SMS no deseados.

Antivirus Kaspersky

No tengo miedo de decir que Kaspersky Anti-Virus es el antivirus más famoso y popular en el espacio postsoviético. La base de datos de antivirus de Kaspersky es realmente enorme. Capta fácilmente todos los posibles virus disponibles en la red. Pero así como los desarrolladores no anunciaron la aceleración y, lo más importante, una reducción radical de los recursos informáticos, tampoco completaron esta tarea.

Kaspersky Anti-Virus, como antes ralentizaba el PC, ahora sigue haciéndolo. Además, usarlo en una máquina bastante poderosa no lo salva de las desaceleraciones: la glotonería de Kaspersky es ilimitada, esto solo puede corregirse mediante un ajuste muy cuidadoso del programa.

Novedades en Kaspersky Free Antivirus 2017

Kaspersky Free Anti-Virus 2017 tiene las siguientes características nuevas:

• Actualización en segundo plano mejorada del programa. Ahora, al actualizar, no es necesario que vuelva a aceptar los términos del Acuerdo de licencia si no ha cambiado.
• Antivirus de correo mejorado. La profundidad predeterminada del análisis heurístico se ha aumentado al nivel medio.

Comparación de versiones

Comparación de las funciones y capacidades del antivirus gratuito Kaspersky Free con soluciones pagas Antivirus Kaspersky(KAV), Seguridad en Internet(KIS) y Seguridad Total(KTS).

Características/versiones	Gratis	KAV	kis	KTS
Antivirus de archivos	✔	✔	✔	✔
antivirus web	✔	✔	✔	✔
Antivirus de mensajería instantánea	✔	✔	✔	✔
antivirus de correo	✔	✔	✔	✔
Antiphishing	✔	✔	✔	✔
Teclado en pantalla	✔	✔	✔	✔
Red de seguridad Kaspersky	✔	✔	✔	✔
Conexión segura de Kaspersky*	✔	✔	✔	✔
Monitoreo de red	✗	✔	✔	✔
Monitoreo de actividad	✗	✔	✔	✔
gestión de internet	✗	✔	✔	✔
Control de programa (HIPS)	✗	✗	✔	✔
Control de cambios en el SO.	✗	✗	✔	✔
Acceso a la cámara web	✗	✗	✔	✔
Cortafuegos	✗	✗	✔	✔
Protección contra ataques a la red	✗	✗	✔	✔
Antispam	✗	✗	✔	✔
Anti-Banner	✗	✗	✔	✔
Protección contra la recopilación de datos	✗	✗	✔	✔
Pagos seguros	✗	✗	✔	✔
Entrada segura de datos	✗	✗	✔	✔
Modo de aplicaciones seguras	✗	✗	✔	✔
Actualizaciones de software	✗	✗	✔	✔
Desinstalar programas	✗	✗	✔	✔
Controles parentales	✗	✗	✔	✔
Respaldo	✗	✗	✗	✔
Cajas fuertes virtuales	✗	✗	✗	✔
Administrador de contraseñas	✗	✗	✗	✔

Características clave de Kaspersky Free Anti-Virus

Antivirus de archivos

Antivirus de archivos Kaspersky Free Anti-Virus le permite evitar la infección del sistema de archivos de su computadora. El componente se inicia cuando se inicia el sistema operativo, se encuentra constantemente en la RAM de la computadora y verifica todos los archivos abiertos, guardados y ejecutados en su computadora y en todas las unidades conectadas.

Antivirus de correo

Mail Anti-Virus analiza los mensajes de correo entrantes y salientes en su computadora. La carta estará a disposición del destinatario sólo si no contiene objetos peligrosos.

antivirus web

Web Anti-Virus intercepta y bloquea la ejecución de scripts ubicados en sitios web si estos scripts representan una amenaza para la seguridad de la computadora. Web Anti-Virus en Kaspersky Free Anti-Virus también monitorea todo el tráfico web y bloquea el acceso a sitios web peligrosos.

Antivirus de mensajería instantánea

IM Anti-Virus garantiza la seguridad al trabajar con clientes de mensajería instantánea. El componente protege la información que ingresa a su computadora a través de protocolos de cliente de mensajería instantánea. IM Anti-Virus garantiza un funcionamiento seguro con muchos programas diseñados para mensajería instantánea.

Conexión segura

El cliente VPN Kaspersky Secure Connection, que se instala junto con el antivirus, está diseñado para una conexión segura. La aplicación protege sus datos cuando trabaja en redes Wi-Fi públicas, proporciona anonimato en Internet y le permite visitar sitios bloqueados.

* El componente Kaspersky Secure Connection tiene un límite de tráfico de 200 MB por día. La eliminación de la restricción y la capacidad de seleccionar servidores VPN están disponibles cuando se registra para obtener una suscripción adicional.

Participación en Kaspersky Security Network

Para mejorar la eficacia de la protección de su computadora, Kaspersky Free Anti-Virus utiliza protección basada en la nube. La protección desde la nube se implementa mediante infraestructura. Red de seguridad Kaspersky, utilizando datos recopilados de usuarios de todo el mundo.

Beneficios del antivirus gratuito Kaspersky

Uno de los mejores antivirus en cuanto a búsqueda y detección de virus desconocidos (es decir, el análisis heurístico del programa es tan avanzado que gracias a él el antivirus encuentra archivos peligrosos, incluso si esta amenaza aún no se encuentra en las bases de datos del antivirus).

Después de instalar Dr.Web, a menudo se bloquea el acceso a Internet, lo que sólo se puede corregir configurando correctamente y agregando excepciones al programa. Entonces, antes de instalar este software, no seas perezoso y lee las instrucciones de configuración y la ayuda en el sitio web de los desarrolladores.

Características principales del Antivirus Dr.Web para Windows

· Escáner Dr.Web para Windows– un escáner antivirus con una interfaz gráfica que se ejecuta a petición del usuario o según un cronograma y realiza un análisis antivirus de la computadora.

· Dr.Web anti-rootkit (API anti-rootkit, arkapi)– escaneo en segundo plano en busca de rootkits y nuevos arkapi. Se ha implementado un subsistema de escaneo en segundo plano y neutralización de amenazas activas. La implementación del subsistema requirió una importante revisión de las bibliotecas del software Dr.Web.

· Protección preventiva— capacidades ampliadas para la protección preventiva del ordenador del usuario del Antivirus Dr.Web contra infecciones mediante el bloqueo de la modificación automática de objetos críticos de Windows, así como el seguimiento de algunas acciones inseguras.

Mediante la protección preventiva, el antivirus Dr.Web proporciona control sobre los siguientes objetos:

- Archivo HOSTS;
— posibilidad de acceso al disco de bajo nivel;
— posibilidad de descargar controladores;
— acceso a las Opciones de ejecución de archivos de imagen;
— acceso a los controladores de usuario;
— Parámetros del shell Winlogon;
— Notificadores de Winlogon;
— inicio automático del shell de Windows;
- asociaciones de archivos ejecutables;
— políticas de restricción del lanzamiento de programas (SRP);
— complementos de Internet Explorer (BHO);
— programas de ejecución automática;
— políticas de inicio automático;
— configuración del modo seguro;
— parámetros del administrador de sesión;
- servicios del sistema.

La tecnología Dr.Web ShellGuard mejorada para el bloqueo sin firma (comportamental) de Dr.Web Process Heuristic en el sistema Dr.Web Preventive Protection protegerá contra ataques que utilizan vulnerabilidades de día cero.

· Hipervisor Dr.Web— componente que permitió mejorar el sistema de detección y tratamiento de amenazas, así como fortalecer la autodefensa de Dr.Web utilizando las capacidades de los procesadores modernos. El componente se ejecuta y opera por debajo del nivel del sistema operativo, lo que garantiza el control de todos los programas, procesos y el funcionamiento del propio sistema operativo, así como la imposibilidad de que programas maliciosos intercepten el control del sistema protegido por Dr.Web.

· Guardia de araña– un guardia antivirus que está constantemente en la RAM, verificando archivos y memoria "sobre la marcha", además de detectar manifestaciones de actividad viral;

· Correo de araña– un protector antivirus de correo que intercepta las llamadas de cualquier cliente de correo de computadora a servidores de correo utilizando los protocolos POP3/SMTP/IMAP4/NNTP (por IMAP4 nos referimos a IMAPv4rev1), detecta y neutraliza los virus de correo antes de que el cliente de correo reciba cartas del servidor. o antes de enviar una carta al servidor de correo. El guardia de correo también puede comprobar la correspondencia en busca de spam utilizando Dr.Web Antispam;

· Cortafuegos Dr.Web– firewall personal del Antivirus Dr.Web, diseñado para proteger su computadora del acceso no autorizado desde el exterior y evitar la fuga de datos importantes a través de la red;

· Módulo de actualización, que permite a los usuarios registrados recibir actualizaciones de bases de datos de virus y otros archivos del complejo, y también los instala automáticamente; brinda a los usuarios no registrados la oportunidad de registrarse o recibir una clave de demostración.

· Agente Araña– un módulo que se utiliza para configurar y gestionar el funcionamiento de los componentes del Antivirus Dr.Web.

Dr.Web CureIt! es un escáner antivirus gratuito basado en el núcleo del programa antivirus Dr.Web, que escaneará y curará su computadora de manera rápida y efectiva sin instalar el antivirus Dr.Web.

antivirus Dr.Web CureIt! detecta y elimina gusanos de correo electrónico y de red, virus de archivos, troyanos, virus ocultos, virus polimórficos, incorpóreos y de macro, virus que atacan documentos de MS Office, virus de secuencias de comandos, software espía, ladrones de contraseñas, marcadores, programas publicitarios, utilidades de piratería, software potencialmente peligroso y cualquier otros códigos no deseados.

Con la utilidad, puede verificar el BIOS de su computadora en busca de infecciones con "kits de BIOS": malware que infecta el BIOS de la PC, y el nuevo subsistema de búsqueda de rootkit le permite detectar amenazas ocultas complejas.

Paga gratis:

1. No proporciona protección en tiempo real.

2. El programa no incluye un módulo para actualizar automáticamente las bases de datos antivirus, por lo que para escanear su computadora la próxima vez con las últimas actualizaciones de las bases de datos antivirus, deberá descargarlo nuevamente. Dr.Web CureIt!

Derechos de instalación y uso

— El uso de una versión gratuita especial del software es legal sólo en su computadora personal. Si utiliza una versión gratuita especial del software, está totalmente sujeto a los términos y condiciones. Acuerdo de licencia, con excepción de las cláusulas 6.1-6.3.

Dr.Web también tiene una utilidad maravillosa: Dr.Web Cureit (que no necesita instalación). La utilidad portátil se puede iniciar incluso desde una unidad flash, es absolutamente gratuita y no requiere ninguna activación. Encuentra todos los virus disponibles en la versión paga de Dr.Web. A menudo ayuda detectar ambos en una computadora.

Pero tenga cuidado antes del tratamiento, lea atentamente las amenazas detectadas por Dr.Web Cureit. La utilidad determina que todos los procesos que monitorean la computadora en tiempo real, como CCleaner o Advanced SystemCare Ultimate, no son seguros. Durante el tratamiento, el software no se elimina por completo, sino solo algunos archivos, pero después de esto el programa ya no se inicia y tampoco está sujeto a la eliminación estándar; deberá limpiarlo manualmente.

Una de las partes principales de cualquier antivirus es el llamado "motor" antivirus, un módulo responsable de escanear objetos y detectar malware. La calidad de la detección de malware y, como consecuencia, el nivel de protección proporcionado por el antivirus depende del motor antivirus, de cómo está diseñado y de los métodos de detección y heurísticas que utiliza.

Este artículo describe en detalle las tecnologías estándar y algunos enfoques originales de varios desarrolladores de antivirus, implementados en el motor antivirus. En el camino, se considerarán algunas cuestiones técnicas relacionadas que son necesarias para evaluar la calidad del motor antivirus y aclarar las tecnologías utilizadas en él.

¿Buen o mal "motor"?

Desafortunadamente, los desarrolladores de software antivirus rara vez revelan detalles de implementación de sus motores. Sin embargo, mediante signos indirectos se puede determinar si el “motor” está en buen estado o no. Estos son los principales criterios mediante los cuales se puede determinar la calidad de un motor antivirus:

Calidad de detección. ¿Qué tan bien detecta el antivirus los virus? Este criterio se puede evaluar en función de los resultados de varias pruebas realizadas por varias organizaciones y que generalmente se presentan en los recursos web del desarrollador.

Nivel de detección por analizadores heurísticos. Desafortunadamente, es imposible determinar este parámetro sin realizar pruebas en una colección de virus, pero es bastante fácil determinar cuál es el nivel de falsos positivos para un motor en particular.

Tasa de falsos positivos. Si en archivos 100% no infectados el antivirus informa que ha detectado un archivo posiblemente infectado, entonces se trata de un falso positivo. ¿Deberíamos confiar en un analizador heurístico que molesta al usuario con falsas alarmas? Después de todo, debido a la gran cantidad de falsos positivos, el usuario puede pasar por alto un virus verdaderamente nuevo.

Soporte para una gran cantidad de empaquetadores y archivadores. Este es un factor muy importante, ya que a menudo los creadores de malware, después de escribir un virus, lo empaquetan con varias utilidades para empaquetar módulos ejecutables y, después de recibir varios virus diferentes, los liberan al mundo. Básicamente, todos estos virus son casos de la misma variante. Para un motor antivirus que admita todas o casi todas las utilidades de empaquetado populares, no será difícil identificar todas estas instancias del mismo virus, llamándolas con el mismo nombre; para otros motores, será necesario actualizar la base de datos del antivirus (; así como el tiempo que tardan los expertos en antivirus en analizar la instancia del virus).

Frecuencia y tamaño de las actualizaciones de la base de datos antivirus. Estos parámetros son signos indirectos de la calidad del motor. Dado que el lanzamiento frecuente de actualizaciones garantiza que el usuario siempre estará protegido contra los virus que aparecen recientemente. El tamaño de la actualización (y la cantidad de virus detectados en esta actualización) habla de la calidad del diseño de la base de datos antivirus y, en parte, del motor.

La capacidad de actualizar el motor sin actualizar el programa antivirus. A veces, para detectar un virus, es necesario actualizar no sólo la base de datos antivirus, sino también el propio "motor". Si el antivirus no admite esta función, el usuario puede quedar sin protección ante un nuevo virus. Además, esta característica le permite mejorar rápidamente el motor y corregir errores en el mismo.

"Motor" antivirus: tecnologías existentes

Con la llegada de los primeros virus informáticos, los programadores rápidamente descubrieron cómo funcionan y crearon los primeros programas antivirus. Ha pasado bastante tiempo desde entonces y los antivirus modernos se diferencian de aquellos primeros antivirus, como un ordenador personal se diferencia de una calculadora.

En el primer párrafo de este artículo, se dio una definición algo "ingenua" del "motor" antivirus. A continuación, se darán una serie de definiciones precisas y descripciones tecnológicas que, en última instancia, le permitirán comprender completamente la estructura y los algoritmos del motor antivirus.

Anti-Virus Engine es un módulo de software diseñado para detectar software malicioso. El "motor" es el componente principal de cualquier programa antivirus, independientemente de su finalidad. El motor se utiliza tanto en productos personales (un escáner o monitor personal) como en soluciones de servidor (un escáner para un servidor de correo o archivos, un firewall o un servidor proxy). Como regla general, para detectar malware, la mayoría de los "motores" implementan las siguientes tecnologías:

Búsqueda por "firmas" (una secuencia única de bytes);
Búsqueda por sumas de verificación o CRC (suma de verificación con una secuencia única de bytes);
Usando una máscara reducida;
Criptoanálisis;
Análisis estadístico;
Análisis heurístico;
Emulación.

Veamos cada uno de estos métodos con más detalle.

Búsqueda por "firmas"

Una firma es una “cadena” única de bytes que caracteriza de manera única a un programa malicioso en particular. La búsqueda de firmas, con una modificación u otra, se ha utilizado para detectar virus y otros programas maliciosos, desde los primeros programas antivirus hasta la actualidad. La ventaja innegable de la búsqueda de firmas es la velocidad de funcionamiento (cuando se utilizan algoritmos especialmente desarrollados, por supuesto) y la capacidad de detectar varios virus con una sola firma. Desventaja: el tamaño de la firma para una detección confiable debe ser bastante grande, al menos de 8 a 12 bytes (generalmente se usan firmas mucho más largas, de hasta 64 bytes, para una detección precisa), por lo tanto, el tamaño de la base de datos antivirus será ser bastante grande. Además, recientemente, los programas maliciosos escritos en lenguajes de alto nivel (C++, Delphi, Visual Basic) se han generalizado cada vez más y dichos programas tienen partes separadas del código que prácticamente no cambian (la llamada Biblioteca de tiempo de ejecución). ). Una firma elegida incorrectamente conducirá inevitablemente a un falso positivo: la detección de un archivo "limpio" y no infectado como infectado con un virus. Como solución a este problema, se propone utilizar firmas muy grandes o utilizar la detección para determinadas áreas de datos, por ejemplo, tablas de reubicación o cadenas de texto, lo que no siempre es bueno.

Búsqueda por sumas de verificación (CRC)

La búsqueda por sumas de verificación (CRC - verificación de redundancia cíclica), es esencialmente una modificación de la búsqueda por firmas. El método se desarrolló para evitar las principales desventajas de la búsqueda de firmas: el tamaño de la base de datos y reducir la probabilidad de falsos positivos. La esencia del método es que para buscar código malicioso, no solo se toma la línea de "referencia": la firma, o más bien, la suma de verificación de esta línea, sino también la ubicación de la firma en el cuerpo del programa malicioso. La ubicación se utiliza para evitar tener que calcular sumas de verificación para todo el archivo. Así, en lugar de 10-12 bytes de firma (mínimo), se utilizan 4 bytes para almacenar la suma de comprobación y otros 4 bytes para la ubicación. Sin embargo, el método de búsqueda por suma de comprobación es algo más lento que la búsqueda por firma.
El uso de máscaras para detectar códigos maliciosos a menudo se complica por la presencia de código cifrado (los llamados virus polimórficos), ya que es imposible seleccionar una máscara o una máscara del tamaño máximo no cumple la condición de unívocamente Identificar un virus sin falsos positivos.
La imposibilidad de elegir una mascarilla de tamaño suficiente en el caso de un virus polimórfico se explica fácilmente. Al cifrar su cuerpo, el virus se asegura de que la mayor parte de su código en el objeto afectado sea una variable y, en consecuencia, no pueda seleccionarse como máscara. (Los virus polimórficos y autocifrados se describen con más detalle en el apéndice al final del artículo).
Para detectar dichos virus se utilizan los siguientes métodos: el uso de una máscara reducida, criptoanálisis y análisis estadístico. Veamos estos métodos con más detalle.

Usar una mascarilla reducida

Al infectar objetos, un virus que utiliza cifrado convierte su código en una secuencia cifrada de datos:
S = F(T), donde
T - código base del virus;
S - códigos de virus cifrados;
F es la función de cifrado del virus, seleccionada aleatoriamente de un determinado conjunto de transformaciones (F).
El método de máscara reducida consiste en elegir una transformación R de los códigos de virus cifrados S, de manera que el resultado de la transformación (es decir, alguna secuencia de datos S") no dependa de las claves de transformación F, es decir
S=F(T)
S" = R (S) = R (F (T)) = R" (T).
Al aplicar la transformación R a todas las variantes posibles del código cifrado S, el resultado S" será constante a una T constante. Así, la identificación de los objetos afectados se realiza eligiendo S" como máscara reducida y aplicando la transformación R a los objetos afectados.

Criptoanálisis

Este método es el siguiente: utilizando un código base conocido del virus y un código cifrado conocido (o un código "sospechoso" similar al cuerpo cifrado del virus), se restauran las claves y el algoritmo del programa descifrador. Luego, este algoritmo se aplica a la parte cifrada, lo que da como resultado el cuerpo descifrado del virus. Al resolver este problema, debes lidiar con un sistema de ecuaciones.
Como regla general, este método funciona mucho más rápido y ocupa mucha menos memoria que emular instrucciones de virus. Sin embargo, resolver este tipo de sistemas suele ser una tarea muy compleja.
Además, el principal problema es el análisis matemático de la ecuación resultante o del sistema de ecuaciones resultante. En muchos sentidos, el problema de resolver sistemas de ecuaciones al recuperar el cuerpo cifrado de un virus se parece al problema criptográfico clásico de recuperar texto cifrado con claves desconocidas. Sin embargo, aquí esta tarea suena algo diferente: es necesario descubrir si un determinado código cifrado es el resultado de aplicar alguna función conocida hasta las claves. Además, se conocen de antemano muchos datos para resolver este problema: una sección del código cifrado, una sección del código no cifrado, posibles variantes de la función de transformación. Además, el propio algoritmo de esta transformación y las claves también están presentes en los códigos analizados. Sin embargo, existe una limitación importante: este problema debe resolverse dentro de los límites específicos de la RAM y el procedimiento de solución no debería llevar mucho tiempo.

Análisis estadístico

También se utiliza para detectar virus polimórficos. Durante su funcionamiento, el escáner analiza la frecuencia de uso de los comandos del procesador, crea una tabla de los comandos del procesador encontrados (códigos de operación) y, basándose en esta información, llega a la conclusión de que el archivo está infectado con un virus. Este método es eficaz para buscar algunos virus polimórficos, ya que estos virus utilizan un conjunto limitado de comandos en el descifrador, mientras que los archivos "limpios" utilizan comandos completamente diferentes con una frecuencia diferente. Por ejemplo, todos los programas de MS-DOS suelen utilizar la interrupción 21h (código de operación CDh 21h), pero este comando prácticamente nunca se encuentra en el descifrador de virus polimórficos de DOS.
La principal desventaja de este método es que existen varios virus polimórficos complejos que utilizan casi todos los comandos del procesador y de una copia a otra el conjunto de comandos utilizados cambia mucho, es decir, no es posible detectar un virus utilizando la frecuencia construida. mesa.

Análisis heurístico

Cuando el número de virus superó los cientos, los expertos en antivirus empezaron a pensar en la idea de detectar malware cuya existencia el programa antivirus aún no sabía (no había firmas correspondientes). Como resultado, se crearon los llamados analizadores heurísticos. Un analizador heurístico es un conjunto de rutinas que analizan el código de archivos ejecutables, macros, scripts, memoria o sectores de arranque para detectar diferentes tipos de programas informáticos maliciosos. Hay dos principios operativos del analizador.

Método estático. Busque firmas cortas comunes que estén presentes en la mayoría de los virus (los llamados comandos "sospechosos"). Por ejemplo, una gran cantidad de virus buscan virus usando la máscara *.EXE, abren el archivo encontrado y escriben en el archivo abierto. La tarea de la heurística en este caso es encontrar firmas que reflejen estas acciones. Luego se analizan las firmas encontradas y, si se encuentra una cierta cantidad de "comandos sospechosos" necesarios y suficientes, se decide que el archivo está infectado. La gran ventaja de este método es su facilidad de implementación y su buena velocidad, pero el nivel de detección de nuevo malware es bastante bajo.

Método dinámico. Este método apareció simultáneamente con la introducción de la emulación de comandos del procesador en los programas antivirus (el emulador se describe con más detalle a continuación). La esencia del método es emular la ejecución del programa y registrar todas las acciones "sospechosas" del programa. Sobre la base de este protocolo, se toma una decisión sobre la posible infección del programa con un virus. A diferencia del método estático, el método dinámico exige más recursos de la computadora; sin embargo, el nivel de detección del método dinámico es mucho mayor.

Emulación

La tecnología de emulación de código de programa (o Sandboxing) fue una respuesta a la aparición de una gran cantidad de virus polimórficos. La idea de este método es emular la ejecución de un programa (tanto infectado con un virus como uno “limpio”) en un “entorno” especial, también llamado buffer de emulación o “sandbox”. Si un archivo infectado con un virus polimórfico ingresa al emulador, después de la emulación, el cuerpo descifrado del virus aparece en el búfer, listo para ser detectado por métodos estándar (búsqueda de firma o CRC).
Los emuladores modernos no solo emulan los comandos del procesador, sino también las llamadas del sistema operativo. La tarea de escribir un emulador completo requiere bastante mano de obra, sin mencionar el hecho de que cuando se usa un emulador hay que monitorear constantemente las acciones de cada comando. Esto es necesario para evitar la ejecución accidental de componentes destructivos del algoritmo del virus.
Cabe señalar especialmente que es necesario emular el funcionamiento de las instrucciones de los virus y no rastrearlas, ya que al rastrear un virus, la probabilidad de encontrar instrucciones o códigos destructivos responsables de la propagación del virus es demasiado alta.

Base de datos del motor antivirus

La base de datos es una parte integral del motor antivirus. Además, si asumimos que un "motor" bien diseñado no cambia con tanta frecuencia, entonces la base de datos antivirus cambia constantemente, porque es en la base de datos antivirus donde se encuentran firmas, sumas de verificación y módulos de software especiales para detectar malware. . Como usted sabe, aparecen nuevos virus, gusanos de red y otros programas maliciosos con una frecuencia envidiable y, por lo tanto, es muy importante que la base de datos antivirus se actualice con la mayor frecuencia posible. Si hace cinco años las actualizaciones semanales eran suficientes, hoy simplemente es necesario recibir al menos actualizaciones diarias de la base de datos antivirus.
También es muy importante qué hay exactamente en la base de datos antivirus: si solo hay registros de virus o procedimientos de software adicionales. En el segundo caso, es mucho más fácil actualizar la funcionalidad del motor antivirus simplemente actualizando las bases de datos.

Soporte para objetos anidados "complejos"

Los motores antivirus han cambiado mucho en los últimos años. Si los primeros antivirus, para ser considerados un programa de primera clase, solo tenían que verificar la memoria del sistema, los archivos ejecutables y los sectores de arranque, unos años más tarde, debido a la creciente popularidad de las utilidades especiales para empaquetar módulos ejecutables, los desarrolladores Nos enfrentamos a la tarea de descomprimir el archivo empaquetado antes de escanearlo.
Luego surgió un nuevo problema: los virus aprendieron a infectar archivos archivados (y los propios usuarios a menudo enviaban archivos infectados en archivos comprimidos). Los antivirus también se vieron obligados a aprender a procesar archivos comprimidos. En 1995 apareció el primer virus de macro que infectó documentos de Microsoft Word. Vale la pena señalar que el formato de documento utilizado por Microsoft Word es cerrado y muy complejo. Varias empresas de antivirus aún no saben cómo procesar dichos archivos por completo.
Hoy en día, debido a la enorme popularidad del correo electrónico, los motores antivirus también procesan tanto las bases de datos de mensajes de correo como los propios mensajes.

Métodos de detección

Un “motor” antivirus típico, que se implementa en cada programa antivirus, utiliza todas las tecnologías necesarias para detectar malware: un analizador heurístico eficaz, un emulador de alto rendimiento y, lo más importante, una arquitectura de software competente y flexible. Subsistema de detección de malware, que permite el uso de todos los métodos de detección anteriores.
Casi todos los motores antivirus utilizan la detección de suma de comprobación como método básico. Este método se eligió basándose en el requisito de minimizar el tamaño de las bases de datos antivirus. Sin embargo, la arquitectura del motor suele ser tan flexible que permite el uso de cualquiera de los métodos de detección enumerados anteriormente, que es lo que se hace con algunos virus particularmente complejos. Esto le permite lograr un alto nivel de detección de virus. La arquitectura del motor antivirus se presenta con más detalle en el diagrama que aparece más adelante en el texto.
La aplicación práctica de métodos para detectar virus polimórficos (criptoanálisis y análisis estadístico, uso de máscara reducida y emulación) se reduce a elegir el método más óptimo en términos de velocidad y cantidad de memoria necesaria. El código de la mayoría de los virus autocifrados se restaura con bastante facilidad mediante el procedimiento de emulación. Si utilizar un emulador no es la solución óptima, entonces el código del virus se restaura mediante una subrutina que implementa la transformación inversa: el criptoanálisis. Para detectar virus que no se pueden emular y virus para los que no es posible construir una transformación inversa, se utiliza el método de construcción de máscaras reducidas.
En algunos de los casos más complejos, se utiliza una combinación de los métodos anteriores. Se emula parte del código del descifrador y los comandos que son realmente responsables del algoritmo de descifrado se extraen del descifrador. Luego, a partir de la información recibida, se construye y resuelve un sistema de ecuaciones para restaurar el código del virus y detectarlo.
También se utiliza una combinación de métodos cuando se utiliza cifrado múltiple, cuando el virus cifra su cuerpo varias veces utilizando diferentes algoritmos de cifrado. A menudo se utiliza un método combinado de recuperación de información o emulación "pura" del código descifrador porque cada nuevo virus debe analizarse e incluirse en la base de datos antivirus en el menor tiempo posible, lo que no siempre se ajusta a los requisitos necesarios. análisis matemático. Y como resultado, hay que utilizar métodos más complicados para detectar un virus, a pesar de que los métodos de análisis matemático del algoritmo descifrador son bastante aplicables.

Trabajar con objetos "complejos"

Los motores antivirus admiten trabajar con una gran cantidad de formatos de empaquetado y archivo. Los desarrolladores rara vez publican una lista completa (o al menos suficientemente detallada) de los formatos compatibles. La siguiente es información publicada oficialmente sobre la compatibilidad con formatos "complejos" en Kaspersky Anti-Virus. En otros productos antivirus, la lista de formatos compatibles debería ser aproximadamente la misma.
El motor Kaspersky Anti-Virus admite el trabajo con más de 400 utilidades diferentes para empaquetar archivos ejecutables, instaladores y archivadores (más de 900 modificaciones en total, hasta mayo de 2003). Entre ellos:

Empaquetadores de archivos ejecutables y sistemas de cifrado. Los más populares: Diet, AVPACK, COMPACK, Epack, ExeLock, ExePack, Expert, HackStop, Jam, LzExe, LzCom, PaquetBuilder, PGMPAK, PkLite, PackWin, Pksmart, Protect, ProtEXE, RelPack, Rerp, Rjcrush, Rucc, Scramb , SCRNCH, Shrink, Six-2-Four, Syspack, Trap, UCEXE, Univac, UPD, UPX (varias versiones), WWPACK, ASPack (varias versiones), ASProtect (varias versiones), Astrum, BitArts, BJFnt, Cexe, Cheaters, Dialect, DXPack, Gleam, CodeSafe, ELFCrypt, JDPack, JDProtect, INFTool, Krypton, Neolite, ExeLock, NFO, NoodleCrypt, OptLink, PCPEC, PEBundle, PECompact (varias versiones), PCshrink, PE-Crypt, PE-Diminisher, PELock, PEncrypt, PE-Pack (varias versiones), PE-Protect, PE-Shield, Petite, Pex, PKLite32, SuperCede, TeLock, VBox, WWPack32, XLok, Yoda.
La compatibilidad con tantos empaquetadores y archivadores permite reducir el tiempo de análisis de nuevos virus, lo que conduce a un aumento en la velocidad de respuesta ante la aparición de un nuevo virus, y a lograr un alto nivel de detección de virus ya conocidos.

Archivadores e instaladores (más de 60 en total). Los más populares: CAB, ARJ, ZIP, GZIP, Tar, AIN, HA, LHA, RAR, ACE, BZIP2, WiseSFX (varias versiones), CreateInstall, Inno Installer, StarDust Installer, MS Expand, GKWare Setup, SetupFactory, Especialista en configuración, NSIS, Astrum, PCInstall, Effect Office.
La compatibilidad con una gran cantidad de tipos de archivadores es especialmente importante para escanear sistemas de correo, ya que la gran mayoría de los virus se envían por correo en forma archivada. Los objetos se descomprimen independientemente del nivel de anidamiento de los archivos. Por ejemplo, si un archivo infectado está empaquetado con UPX y luego el archivo está empaquetado en un archivo ZIP, que a su vez está empaquetado en un archivo CAB, etc., entonces el motor antivirus aún debería poder llegar al archivo original y detectar el virus.
Cabe señalar que tales consideraciones no son en absoluto teóricas. Así, es ampliamente conocido el programa troyano Backdoor.Rbot, que se distribuía junto con muchos programas diferentes (Ezip, Exe32Pack, ExeStealth, PecBundle, PECompact, FSG, UPX, Morphine, ASPack, Petite, PE-Pack, PE-Diminisher, PELock). , PESpin, TeLock, Molebox, Yoda, Ezip, Krypton, etc.).
El algoritmo de descompresión de archivos suele tener suficiente inteligencia para no descomprimir todo tipo de "bombas de archivos": archivos pequeños que contienen archivos enormes (con una relación de compresión muy alta) o varios archivos idénticos. Normalmente, escanear un archivo de este tipo lleva mucho tiempo, pero los motores antivirus modernos suelen reconocer este tipo de "bombas".

El mecanismo para actualizar las bases de datos antivirus y su tamaño.

Las actualizaciones de la base de datos antivirus suelen publicarse varias veces al día. Algunos pueden publicar actualizaciones una vez cada hora, otros, una vez cada dos horas. En cualquier caso, dado el alto nivel de peligrosidad actual en Internet, una actualización tan frecuente de las bases de datos antivirus está completamente justificada.
El tamaño de las actualizaciones indica la arquitectura bien pensada del motor antivirus. Por tanto, el tamaño de las actualizaciones periódicas de las empresas líderes del sector no suele superar los 30 KB. Al mismo tiempo, las bases de datos antivirus suelen contener alrededor del 70% de la funcionalidad de todo el motor antivirus. Cualquier actualización de la base de datos antivirus puede agregar soporte para un nuevo empaquetador o archivador. De este modo, al actualizar diariamente la base de datos antivirus, el usuario recibe no sólo nuevos procedimientos para detectar nuevo malware, sino también una actualización de todo el antivirus. Esto le permite reaccionar de forma muy flexible ante la situación y garantizar al usuario la máxima protección.

Analizador heurístico

El analizador heurístico, que forma parte de casi todos los antivirus, utiliza los dos métodos de análisis descritos anteriormente: criptoanálisis y análisis estadístico. Un analizador heurístico moderno está diseñado desde cero para ser extensible (a diferencia de la mayoría de los analizadores heurísticos de primera generación, que fueron diseñados para detectar malware solo en módulos ejecutables).
Actualmente, el analizador heurístico permite detectar códigos maliciosos en archivos ejecutables, sectores y memoria, así como nuevos virus script y malware para Microsoft Office (y otros programas que utilizan VBA) y, finalmente, códigos maliciosos escritos en lenguajes de alto nivel. , como Microsoft Visual Basic.
La arquitectura flexible y la combinación de varios métodos nos permiten alcanzar un nivel bastante alto de detección de nuevo malware. Al mismo tiempo, los desarrolladores están haciendo todo lo posible para reducir al mínimo el número de falsas alarmas. Los productos presentados por los líderes de la industria antivirus rara vez cometen errores al detectar códigos maliciosos.

Esquema de funcionamiento del motor antivirus.

El siguiente diagrama describe un algoritmo aproximado para el funcionamiento del motor antivirus. Cabe señalar que la emulación y la búsqueda de malware conocido y desconocido se producen simultáneamente.

Esquema de funcionamiento de un motor antivirus típico utilizando el ejemplo de Kaspersky Anti-Virus

Como se mencionó anteriormente, al actualizar la base de datos antivirus, también se actualizan y agregan módulos para descomprimir archivos comprimidos, un analizador heurístico y otros módulos del motor antivirus.

Tecnologías originales en motores antivirus.

Casi todos los desarrolladores de productos antivirus implementan algunas de sus propias tecnologías que hacen que el programa sea más eficiente y productivo. Algunas de estas tecnologías están directamente relacionadas con el diseño del “motor”, ya que muchas veces el rendimiento de toda la solución depende de su funcionamiento. A continuación, consideraremos una serie de tecnologías que pueden acelerar significativamente el escaneo de objetos al tiempo que garantizan la preservación de una detección de alta calidad, así como también mejoran la detección y el tratamiento de software malicioso en archivos archivados.
Comencemos con la tecnología iChecker. Esta tecnología y sus análogos se implementan en casi todos los antivirus modernos. Cabe señalar que iChecker es un nombre propuesto por los especialistas de Kaspersky Lab. Los expertos, por ejemplo, Panda Software lo llaman UltraFast. Esta tecnología le permite lograr un equilibrio razonable entre la confiabilidad de la protección de las estaciones de trabajo (y especialmente los servidores) y el uso de los recursos del sistema de la computadora protegida. Gracias a esta tecnología, se reduce significativamente el tiempo de carga (hasta un 30-40%) del sistema operativo (en comparación con la protección antivirus tradicional) y el tiempo de inicio de aplicaciones con protección antivirus activa. Esto garantiza que todos los archivos en los discos de la computadora hayan sido escaneados y no estén infectados. La idea principal de esta tecnología es que no es necesario comprobar lo que no ha cambiado y ya se ha comprobado. El motor antivirus mantiene una base de datos especial en la que se almacenan las sumas de comprobación de todos los archivos analizados (y no infectados). Ahora, antes de enviar el archivo para verificación, el "motor" calcula y compara la suma de verificación del archivo con los datos almacenados en la base de datos. Si los datos coinciden, esto significa que el archivo ha sido verificado y no es necesario volver a verificarlo. Vale la pena señalar que el tiempo dedicado a calcular las sumas de comprobación de archivos es significativamente menor que el tiempo que lleva un análisis antivirus.
Un lugar especial en el trabajo del antivirus lo ocupa el tratamiento de objetos archivados infectados. Esto es exactamente lo que se discutirá a continuación. iCure es una tecnología para tratar archivos infectados en archivos. Gracias a esta tecnología, los objetos infectados dentro de los archivos archivados se desinfectarán (o eliminarán, según la configuración del antivirus) con éxito sin el uso de utilidades de archivo externas. Hoy en día, la mayoría de los antivirus admiten los siguientes tipos de archivos: ARJ, CAB, RAR, ZIP. Gracias a la arquitectura modular y las tecnologías para actualizar el motor antivirus, el usuario, por regla general, puede actualizar y ampliar fácilmente la lista de tipos de archivadores compatibles sin reiniciar el antivirus.
iArc es otra tecnología para trabajar con archivos comprimidos. Esta tecnología es necesaria para trabajar con archivos de varios volúmenes. iArc le permite escanear archivos de varios volúmenes y detectar virus incluso si están empaquetados en un archivo de varios volúmenes, que, a su vez, también estará empaquetado en un archivo de varios volúmenes.
Subprocesos múltiples. El “motor” antivirus es un módulo multiproceso y puede procesar simultáneamente (verificar si hay códigos maliciosos) varios objetos (archivos, sectores, scripts, etc.).
La mayoría de las tecnologías enumeradas anteriormente se implementan de una forma u otra en todos los productos antivirus modernos.

Virus polimórficos

A lo largo del artículo, se utilizaron con frecuencia los términos virus "polimórficos" y "autocifrados". Como debería haber quedado claro en las discusiones anteriores, fue este tipo de código malicioso el que tuvo una fuerte influencia en el desarrollo de las tecnologías antivirus. La siguiente es información sobre virus polimórficos proporcionada por expertos de Kaspersky Lab.

Definiciones básicas: autocifrado y polimorfismo. Son utilizados por casi todos los tipos de virus para complicar al máximo el procedimiento de detección del virus. Los virus polimórficos son bastante difíciles de detectar si no tienen firmas, es decir, no contienen una sola sección constante de código. En la mayoría de los casos, dos muestras del mismo virus polimórfico no tendrán una sola coincidencia. Esto se logra cifrando el cuerpo principal del virus y modificando el programa de descifrado. Los virus polimórficos incluyen aquellos que no se pueden detectar (o son extremadamente difíciles) usando las llamadas máscaras de virus: secciones de código constante específicas para un virus en particular. Esto se logra de dos maneras principales: cifrando el código del virus principal con una clave no permanente y un conjunto aleatorio de comandos de descifrado, o cambiando el código del virus ejecutable. También hay otros ejemplos bastante exóticos de polimorfismo: el virus DOS "Bomber", por ejemplo, no está cifrado, pero la secuencia de comandos que transfiere el control al código del virus es completamente polimórfica.
Se encuentran polimorfismos de diversos grados de complejidad en virus de todo tipo, desde virus de arranque y archivos de DOS hasta virus de Windows e incluso virus de macro.

Descifradores polimórficos

El ejemplo más simple de un descifrador parcialmente polimórfico es el siguiente conjunto de comandos, como resultado de lo cual ni un solo byte del código del virus en sí y su descifrador es constante al infectar diferentes archivos:

MOV reg_1, contar ; reg_1, reg_2, reg_3 se seleccionan de
MOV reg_2, clave ; HACHA,BX,CX,DX,SI,DI,BP
MOV reg_3, _desplazamiento ; count, key, _offset también puede cambiar
_bucle:
xxx byte ptr, reg_2 ; xor, agregar o sub
DIC reg_1
Jxx_loop ; ja o jnc
; Luego viene el código cifrado y los datos del virus.

Los virus polimórficos complejos utilizan algoritmos mucho más complejos para generar el código de sus descifradores: las instrucciones anteriores (o sus equivalentes) se reorganizan de una infección a otra, diluidas con comandos que no cambian nada como NOP, STI, CLI, STC, CLC, etc.
Los virus polimórficos completos utilizan algoritmos aún más complejos, como resultado de lo cual el descifrador de virus puede contener operaciones SUB, ADD, XOR, ROR, ROL y otras en un número y orden arbitrarios. La carga y cambio de claves y otros parámetros de cifrado también se realiza mediante un conjunto arbitrario de operaciones, en las que se pueden encontrar casi todas las instrucciones del procesador Intel (ADD, SUB, TEST, XOR, OR, SHR, SHL, ROR, MOV, XCHG , JNZ, PUSH, POP ..) con todos los modos de direccionamiento posibles. También aparecen virus polimórficos, cuyo descifrador utiliza instrucciones hasta Intel386, y en el verano de 1997 se descubrió un virus polimórfico de 32 bits que infecta archivos EXE de Windows 95.
Como resultado, al principio de un archivo infectado con dicho virus hay una serie de instrucciones aparentemente sin sentido. Es interesante que algunas combinaciones que son bastante funcionales no son aceptadas por los desensambladores propietarios (por ejemplo, la combinación CS:CS: o CS:NOP). Y entre este "lío" de comandos y datos, de vez en cuando se escapan MOV, XOR, LOOP, JMP, instrucciones que realmente "funcionan".

Niveles de polimorfismo

Existe una división de los virus polimórficos en niveles dependiendo de la complejidad del código que se encuentra en los descifradores de estos virus. Esta división fue propuesta por primera vez por el Dr. Alan Solomon, después de un tiempo Vesselin Bonchev la amplió:

Nivel 1: Virus que tienen un determinado conjunto de descifradores con un código constante; cuando se infectan, eligen uno de ellos. Estos virus son "semipolimórficos" y también se les llama "oligomórficos". Ejemplos: "Cheeba", "Eslovaquia", "Ballena".

Nivel 2: el descifrador de virus contiene una o más instrucciones permanentes, pero la parte principal es inestable.

Nivel 3: el descifrador contiene instrucciones no utilizadas: "basura", como NOP, CLI, STI, etc.

Nivel 4: el descifrador utiliza instrucciones intercambiables e instrucciones de reordenamiento (barajado). El algoritmo de descifrado no cambia.

Nivel 5: Se utilizan todas las técnicas anteriores, el algoritmo de descifrado no es constante, es posible volver a cifrar el código del virus e incluso cifrar parcialmente el código de descifrado.

Nivel 6: Virus permutantes. El código principal del virus está sujeto a cambios: se divide en bloques que, cuando se infectan, se reorganizan en orden aleatorio. El virus sigue siendo funcional. Es posible que estos virus no estén cifrados.

La clasificación anterior tiene sus inconvenientes, ya que se realiza según un único criterio: la capacidad de detectar un virus mediante el código descifrador utilizando la técnica estándar de máscaras antivirus:

Nivel 1: para detectar el virus basta con tener varias mascarillas;
Nivel 2: detección de máscara mediante "comodines";
Nivel 3: detección mediante mascarilla tras retirar instrucciones “basura”;
Nivel 4: la máscara contiene varias opciones para posible código, es decir, se vuelve algorítmica;
Nivel 5: incapacidad para detectar el virus usando la máscara.

La insuficiencia de dicha división se demuestra en el virus del tercer nivel de polimorfismo, que se denomina “Nivel 3”. Este virus, al ser uno de los virus polimórficos más complejos, según la división anterior cae en el Nivel 3, ya que tiene un algoritmo de descifrado constante, precedido por una gran cantidad de comandos "basura". Sin embargo, en este virus el algoritmo de generación de basura se ha perfeccionado: casi todas las instrucciones del procesador i8086 se pueden encontrar en el código de descifrado.
Si dividimos en niveles desde el punto de vista de los antivirus que utilizan sistemas para descifrar automáticamente el código del virus (emuladores), entonces la división en niveles dependerá de la complejidad de emular el código del virus. Es posible detectar un virus utilizando otros métodos, por ejemplo, descifrado utilizando leyes matemáticas elementales, etc.
Una clasificación más objetiva sería aquella en la que, además del criterio de las mascarillas virales, también intervinieran otros parámetros, por ejemplo:

El grado de complejidad del código polimórfico (el porcentaje de todas las instrucciones del procesador que se pueden encontrar en el código descifrador);
Utilizar técnicas especiales que dificultan la emulación a los antivirus;
Constancia del algoritmo descifrador;
Constancia de la longitud del descifrador.

Cambiar el código ejecutable

Muy a menudo, este método de polimorfismo es utilizado por virus de macro que, al crear nuevas copias de sí mismos, cambian aleatoriamente los nombres de sus variables, insertan líneas vacías o cambian su código de alguna otra manera. Por lo tanto, el algoritmo del virus permanece sin cambios, pero el código del virus cambia casi por completo de una infección a otra.
Este método lo utilizan con menos frecuencia los virus de arranque complejos. Estos virus inyectan solo un procedimiento bastante corto en los sectores de arranque, que lee el código principal del virus del disco y le transfiere el control. El código para este procedimiento se selecciona entre varias opciones diferentes (que también se pueden mezclar con comandos "vacíos"), se reorganizan los comandos, etc.
Esta técnica es aún menos común con los virus de archivos; después de todo, tienen que cambiar completamente su código y esto requiere algoritmos bastante complejos. Hasta la fecha, sólo se conocen dos virus de este tipo, uno de los cuales ("Ply") mueve aleatoriamente sus comandos por su cuerpo y los reemplaza con comandos JMP o CALL. Otro virus ("TMC") utiliza un método más complejo: cada vez que se infecta, el virus intercambia bloques de su código y datos, inserta "basura", establece nuevos valores de compensación en los datos en sus instrucciones de ensamblaje, cambia constantes, etc. Como resultado, aunque el virus no cifra su código, es un virus polimórfico: no hay un conjunto constante de comandos en el código. Además, al crear nuevas copias de sí mismo, el virus cambia su longitud.

Hoy más que nunca el software antivirus no sólo es el más demandado en el sistema de seguridad de cualquier sistema operativo, sino también uno de sus principales componentes. Y si antes el usuario tenía una elección muy limitada y modesta, ahora se pueden encontrar muchos programas de este tipo. Pero si miras la lista de los "10 mejores antivirus", notarás que no todos son equivalentes en términos de funcionalidad. Veamos los paquetes más populares. Al mismo tiempo, el análisis incluirá tanto aplicaciones de pago como shareware (antivirus durante 30 días) y de distribución gratuita. Pero primero lo primero.

Los 10 mejores antivirus para Windows: criterios de prueba

Antes de comenzar a compilar una calificación, probablemente debería familiarizarse con los criterios básicos que se utilizan en la mayoría de los casos al probar dicho software.

Naturalmente, es simplemente imposible considerar todos los paquetes conocidos. Sin embargo, entre todos los diseñados para garantizar la protección de un sistema informático en el sentido más amplio, se pueden identificar los más populares. Al mismo tiempo, tendremos en cuenta tanto las calificaciones oficiales de laboratorios independientes como las reseñas de usuarios que utilizan tal o cual producto de software en la práctica. Además, los programas móviles no se verán afectados; nos centraremos en los sistemas estacionarios.

En cuanto a la realización de pruebas básicas, por regla general, incluyen varios aspectos principales:

• disponibilidad de versiones gratuitas y de pago y limitaciones relacionadas con la funcionalidad;
• velocidad de escaneo estándar;
• identificación rápida de amenazas potenciales y la capacidad de eliminarlas o ponerlas en cuarentena mediante algoritmos integrados;
• frecuencia de actualización de las bases de datos antivirus;
• autodefensa y confiabilidad;
• disponibilidad de funciones adicionales.

Como puede verse en la lista anterior, comprobar el funcionamiento del software antivirus le permite determinar las fortalezas y debilidades de un producto en particular. A continuación, consideraré los paquetes de software más populares incluidos en el Top 10 de antivirus y también daré sus principales características, por supuesto, teniendo en cuenta las opiniones de las personas que los utilizan en su trabajo diario.

Productos de software de Kaspersky Lab

Primero, veamos los módulos de software desarrollados por Kaspersky Lab, que son extremadamente populares en el espacio postsoviético.

Es imposible destacar un solo programa aquí, porque entre ellos se puede encontrar el escáner estándar Kaspersky Antivirus, módulos como Internet Security, utilidades portátiles como Virus Removal Tool e incluso discos de arranque para sistemas Rescue Disc dañados.

Inmediatamente vale la pena señalar dos desventajas principales: en primer lugar, a juzgar por las revisiones, casi todos los programas, con raras excepciones, son pagos o shareware, y en segundo lugar, los requisitos del sistema son excesivamente altos, lo que imposibilita su uso en configuraciones relativamente débiles. . Naturalmente, esto asusta a muchos usuarios comunes, aunque las claves de activación de Kaspersky Antivirus o Internet Security se pueden encontrar fácilmente en la World Wide Web.

Por otra parte, la situación de activación se puede corregir de otra forma. Por ejemplo, las claves de Kaspersky se pueden generar utilizando aplicaciones especiales como Key Manager. Es cierto que este enfoque es, por decirlo suavemente, ilegal, pero muchos usuarios lo utilizan como salida.

La velocidad de funcionamiento en las máquinas modernas es media (por alguna razón, se crean cada vez más versiones pesadas para nuevas configuraciones), pero las bases de datos constantemente actualizadas y la tecnología única para identificar y eliminar virus conocidos y programas potencialmente peligrosos están en su mejor momento. No es sorprendente que Kapersky Laboratory sea hoy líder entre los desarrolladores de software de seguridad.

Y dos palabras más sobre el disco de recuperación. Es único a su manera, ya que carga un escáner con una interfaz gráfica incluso antes de que se inicie Windows, lo que le permite eliminar amenazas incluso desde la RAM.

Lo mismo se aplica a la utilidad portátil Virus Removal Tool, que puede rastrear cualquier amenaza en un terminal infectado. Sólo se puede comparar con una utilidad similar del Dr. Web.

Protección del Dr. Web

Ante nosotros se encuentra otro de los representantes más fuertes en el campo de la seguridad: el famoso "Doctor Web", que estuvo en los orígenes de la creación de todo el software antivirus desde tiempos inmemoriales.

Entre la gran cantidad de programas también puede encontrar escáneres estándar, herramientas de seguridad para navegar por Internet, utilidades portátiles y discos de recuperación. No puedes enumerarlo todo.

Los principales factores a favor del software de este desarrollador incluyen la alta velocidad, la detección instantánea de amenazas con la capacidad de eliminarlas o aislarlas por completo, así como una carga moderada en el sistema en su conjunto. En general, desde el punto de vista de la mayoría de los usuarios, esta es una especie de versión ligera de Kaspersky. Todavía hay algo interesante aquí. En particular, este es el Dr. Web Katana. Se cree que se trata de un producto de software de nueva generación. Se centra en el uso de tecnologías de “arena”, es decir, colocar una amenaza en la “nube” o “caja de arena” (como quiera llamarlo) para su análisis antes de que penetre en el sistema. Sin embargo, si nos fijamos, no hay ninguna innovación particular aquí, porque esta técnica se utilizó en el antivirus gratuito Panda. Además, según muchos usuarios, el Dr. Web Katana es una especie de Espacio de Seguridad con las mismas tecnologías. Sin embargo, en términos generales, cualquier software de este desarrollador es bastante estable y potente. No es sorprendente que muchos usuarios prefieran estos paquetes.

Programas ESET

Hablando de los 10 mejores antivirus, es imposible no mencionar a otro destacado representante de este campo: la empresa ESET, que se hizo famosa por un producto tan conocido como NOD32. Un poco más tarde nació el módulo ESET Smart Security.

Si consideramos estos programas, podemos notar un punto interesante. Para activar la funcionalidad completa de cualquier paquete, puedes hacer dos cosas. Por un lado, se trata de la adquisición de una licencia oficial. Por otro lado, puedes instalar un antivirus de prueba de forma gratuita, pero actívalo cada 30 días. Interesante y la situación con la activación.

Como señalan absolutamente todos los usuarios, para ESET Smart Security (o para un antivirus estándar) en el sitio web oficial se pueden encontrar claves distribuidas gratuitamente en forma de nombre de usuario y contraseña. Hasta hace poco, sólo se podían utilizar estos datos. Ahora el proceso se ha vuelto algo más complicado: primero debe iniciar sesión y contraseña en un sitio web especial, convertirlo en un número de licencia y solo luego ingresarlo en el campo de registro del programa. Sin embargo, si no prestas atención a esas pequeñas cosas, puedes notar que este antivirus es uno de los mejores. Ventajas notadas por los usuarios:

• las bases de datos de firmas de virus se actualizan varias veces al día,
• identificación de amenazas al más alto nivel,
• no hay conflictos con los componentes del sistema (firewall),
• el paquete tiene la autodefensa más fuerte,
• no hay falsas alarmas, etc.

Por separado, vale la pena señalar que la carga en el sistema es mínima y el uso del módulo antirrobo incluso le permite proteger los datos contra robo o uso indebido para beneficio personal.

Antivirus AVG

AVG Antivirus es un software pago diseñado para brindar seguridad integral a los sistemas informáticos (también existe una versión truncada gratuita). Y aunque hoy este paquete ya no se encuentra entre los cinco primeros, demuestra una velocidad y estabilidad bastante altas.

En principio, es ideal para uso doméstico porque, además de velocidad, tiene una cómoda interfaz rusificada y un comportamiento más o menos estable. Es cierto que, como señalan algunos usuarios, a veces puede pasar por alto amenazas. Y esto no se aplica a los virus como tales, sino al spyware o “basura” publicitaria llamados Malware y Adware. El propio módulo del programa, aunque ha sido ampliamente publicitado, todavía, según los usuarios, parece algo inacabado. Y un firewall adicional a menudo puede causar conflictos con el firewall "nativo" de Windows si ambos módulos están activos.

Paquete Avira

Avira es otro miembro de la familia de antivirus. No es fundamentalmente diferente de la mayoría de paquetes similares. Sin embargo, si lees las opiniones de los usuarios al respecto, puedes encontrar publicaciones bastante interesantes.

Mucha gente no recomienda utilizar la versión gratuita bajo ninguna circunstancia, ya que simplemente faltan algunos módulos. Para garantizar una protección confiable, deberá comprar un producto pago. Pero dicho antivirus es adecuado para las versiones 8 y 10, en las que el sistema en sí usa muchos recursos y el paquete los usa en el nivel más bajo. En principio, Avira es más adecuado, por ejemplo, para portátiles económicos y ordenadores más débiles. Sin embargo, una instalación de red está fuera de discusión.

Servicio en la nube Panda Cloud

En un momento, lo gratuito se convirtió casi en una revolución en el campo de las tecnologías antivirus. El uso del llamado “sandbox” para enviar contenido sospechoso para su análisis antes de que penetre en el sistema ha hecho que esta aplicación sea especialmente popular entre usuarios de todos los niveles.

Y es precisamente al “sandbox” al que hoy se asocia este antivirus. Sí, efectivamente, esta tecnología, a diferencia de otros programas, permite evitar que entren amenazas al sistema. Por ejemplo, cualquier virus primero guarda su cuerpo en el disco duro o en la RAM, y solo entonces comienza su actividad. Aquí la cuestión no llega a la conservación. Primero, el archivo sospechoso se envía a un servicio en la nube, donde se verifica y solo entonces se puede guardar en el sistema. Es cierto que, según testigos presenciales, lamentablemente esto puede llevar bastante tiempo y cargar innecesariamente el sistema. Por otro lado, cabe preguntarse qué es más importante: ¿la seguridad o un mayor tiempo de verificación? Sin embargo, para configuraciones de ordenadores modernas con velocidades de conexión a Internet de 100 Mbit/s y superiores, se puede utilizar sin problemas. Por cierto, su propia protección la proporciona precisamente a través de la "nube", lo que a veces genera críticas.

Escáner antivirus Avast Pro

Ahora unas palabras sobre otro brillante representante: es bastante popular entre muchos usuarios; sin embargo, a pesar de la presencia del mismo sandbox, anti-spyware, escáner de red, firewall y cuenta virtual, desafortunadamente Avast Pro Antivirus es superado en términos de rendimiento. Los principales indicadores de rendimiento, funcionalidad y confiabilidad pierden claramente frente a gigantes como los productos de software o aplicaciones de Kaspersky Lab que utilizan tecnologías Bitdefender, aunque demuestra una alta velocidad de escaneo y un bajo consumo de recursos.

Los usuarios se sienten atraídos por este producto principalmente por el hecho de que la versión gratuita del paquete es lo más funcional posible y no se diferencia mucho del software de pago. Además, este antivirus funciona en todas las versiones de Windows, incluido Windows 10, y funciona muy bien incluso en máquinas obsoletas.

Paquetes de seguridad 360

Ante nosotros se encuentra probablemente uno de los antivirus más rápidos de nuestro tiempo: 360 Security, desarrollado por especialistas chinos. En general, todos los productos con la etiqueta "360" se distinguen por una velocidad de funcionamiento envidiable (el mismo navegador de Internet 360 Safety Browser).

A pesar de su objetivo principal, el programa cuenta con módulos adicionales para eliminar vulnerabilidades del sistema operativo y optimizarlo. Pero ni la velocidad de funcionamiento ni la distribución gratuita pueden compararse con falsas alarmas. En la lista de programas que tienen los indicadores más altos para este criterio, este software ocupa uno de los primeros lugares. Según muchos expertos, los conflictos surgen a nivel del sistema debido a optimizadores adicionales, cuya acción se cruza con la ejecución de tareas del propio sistema operativo.

Productos de software basados ​​en tecnologías Bitdefender

Otro “viejo” entre los defensores más famosos de los sistemas operativos es Bitdefender. Desafortunadamente, en 2015 perdió la palma frente a los productos de Kaspersky Lab; sin embargo, en cuanto a antivirus, por así decirlo, es uno de los que marcan tendencias.

Si observa un poco más de cerca, notará que muchos programas modernos (el mismo paquete 360 ​​​​Security) en diferentes variaciones se crean precisamente sobre la base de estas tecnologías. A pesar de la rica base funcional, también tiene sus desventajas. En primer lugar, no encontrará el antivirus ruso (rusificado) Bitdefender, ya que no existe en absoluto en la naturaleza. En segundo lugar, a pesar del uso de los últimos avances tecnológicos en términos de protección del sistema, desafortunadamente, muestra un número demasiado alto de falsos positivos (por cierto, según los expertos, esto es típico de todo el grupo de programas creados sobre la base de Bitdefender). La presencia de componentes optimizadores adicionales y sus propios firewalls generalmente no mejoran el comportamiento de dichos antivirus. Pero no se puede negar la velocidad de esta aplicación. Además, se utiliza P2P para la verificación, pero no existe una verificación de correo electrónico en tiempo real, lo que a muchas personas no les gusta.

Antivirus de Microsoft

Otra aplicación que destaca por su envidiable rendimiento con o sin motivo es el producto propio de Microsoft llamado Security Essentials.

Este paquete está incluido en el Top 10 de antivirus, aparentemente, solo porque está diseñado exclusivamente para sistemas Windows, lo que significa que no causa absolutamente ningún conflicto a nivel del sistema. Además, ¿quién más, sino los especialistas de Microsoft, conoce todos los agujeros de seguridad y vulnerabilidades de sus propios sistemas operativos? Por cierto, un hecho interesante es que las versiones iniciales de Windows 7 y Windows 8 tenían MSE como estándar, pero luego, por alguna razón, este kit fue abandonado. Sin embargo, para Windows puede convertirse en la solución más sencilla en términos de seguridad, aunque no puede contar con ninguna funcionalidad especial.

Aplicación McAfee

En cuanto a esta aplicación, parece bastante interesante. Sin embargo, la mayor popularidad ha ganado en el campo de la aplicación en dispositivos móviles con todo tipo de bloqueo, sin embargo, en computadoras de escritorio este antivirus no se comporta peor.

El programa tiene soporte de bajo nivel para redes P2P al compartir archivos de Instant Messenger y también ofrece protección de 2 niveles, en el que el papel principal se le da a los módulos WormStopper y ScriptStopper. Pero en general, según los consumidores, la funcionalidad está en un nivel medio y el programa en sí está más centrado en identificar software espía, gusanos informáticos y troyanos y en evitar que scripts ejecutables o códigos maliciosos entren en el sistema.

Antivirus y optimizadores combinados

Naturalmente, aquí solo se consideraron los incluidos en el Top 10 de antivirus. Si hablamos de otros programas de este tipo, podemos notar algunos paquetes que contienen módulos antivirus en sus conjuntos.

¿Qué preferir?

Naturalmente, todos los antivirus tienen ciertas similitudes y diferencias. ¿Qué instalar? Aquí debe partir de las necesidades y el nivel de protección proporcionado. Como regla general, los clientes corporativos deberían comprar algo más potente con posibilidad de instalación en red (Kaspersky, Dr. Web, ESET). En cuanto al uso doméstico, aquí el usuario elige lo que necesita (si lo desea, incluso puede encontrar un antivirus por un año, sin registrarse ni comprar). Pero, si nos fijamos en las opiniones de los usuarios, es mejor instalar Panda Cloud, incluso a pesar de cierta carga adicional en el sistema y el tiempo que lleva comprobarlo en el sandbox. Pero aquí es donde existe una garantía total de que la amenaza no penetrará en el sistema de ninguna manera. Sin embargo, cada uno es libre de elegir por sí mismo qué es exactamente lo que necesita. Si la activación no es difícil, por favor: Los productos ESET funcionan bien en sistemas domésticos. Pero utilizar optimizadores con módulos antivirus como principal medio de protección es muy indeseable. Bueno, también es imposible decir qué programa ocupa el primer lugar: hay tantos usuarios, tantas opiniones.

Motores antivirus.

Una de las partes principales de cualquier antivirus es el llamado "motor" antivirus, un módulo responsable de escanear objetos y detectar malware. La calidad de la detección de malware y, como consecuencia, el nivel de protección proporcionado por el antivirus depende del motor antivirus, de cómo está diseñado y de los métodos de detección y heurísticas que utiliza.

Este artículo describe en detalle las tecnologías estándar y algunos enfoques originales de varios desarrolladores de antivirus, implementados en el motor antivirus. En el camino, se considerarán algunas cuestiones técnicas relacionadas que son necesarias para evaluar la calidad del motor antivirus y aclarar las tecnologías utilizadas en él.

¿Buen o mal "motor"?

Desafortunadamente, los desarrolladores de software antivirus rara vez revelan detalles de implementación de sus motores. Sin embargo, mediante signos indirectos se puede determinar si el “motor” está en buen estado o no. Estos son los principales criterios mediante los cuales se puede determinar la calidad de un motor antivirus:
Calidad de detección. ¿Qué tan bien detecta el antivirus los virus? Este criterio se puede evaluar en función de los resultados de varias pruebas realizadas por varias organizaciones y que generalmente se presentan en los recursos web del desarrollador.

Nivel de detección por analizadores heurísticos. Desafortunadamente, es imposible determinar este parámetro sin realizar pruebas en una colección de virus, pero es bastante fácil determinar cuál es el nivel de falsos positivos para un motor en particular.

Tasa de falsos positivos. Si en archivos 100% no infectados el antivirus informa que ha detectado un archivo posiblemente infectado, entonces se trata de un falso positivo. ¿Deberíamos confiar en un analizador heurístico que molesta al usuario con falsas alarmas? Después de todo, debido a la gran cantidad de falsos positivos, el usuario puede pasar por alto un virus verdaderamente nuevo.

Soporte para una gran cantidad de empaquetadores y archivadores. Este es un factor muy importante, ya que a menudo los creadores de malware, después de escribir un virus, lo empaquetan con varias utilidades para empaquetar módulos ejecutables y, después de recibir varios virus diferentes, los liberan al mundo. Básicamente, todos estos virus son casos de la misma variante. Para un motor antivirus que admita todas o casi todas las utilidades de empaquetado populares, no será difícil identificar todas estas instancias del mismo virus, llamándolas con el mismo nombre; para otros motores, será necesario actualizar la base de datos del antivirus (; así como el tiempo que tardan los expertos en antivirus en analizar la instancia del virus).

Frecuencia y tamaño de las actualizaciones de la base de datos antivirus. Estos parámetros son signos indirectos de la calidad del motor. Dado que el lanzamiento frecuente de actualizaciones garantiza que el usuario siempre estará protegido contra los virus que aparecen recientemente. El tamaño de la actualización (y la cantidad de virus detectados en esta actualización) habla de la calidad del diseño de la base de datos antivirus y, en parte, del motor.

La capacidad de actualizar el motor sin actualizar el programa antivirus. A veces, para detectar un virus, es necesario actualizar no sólo la base de datos antivirus, sino también el propio "motor". Si el antivirus no admite esta función, el usuario puede quedar sin protección ante un nuevo virus. Además, esta característica le permite mejorar rápidamente el motor y corregir errores en el mismo.

"Motor" antivirus: tecnologías existentes

Con la llegada de los primeros virus informáticos, los programadores rápidamente descubrieron cómo funcionan y crearon los primeros programas antivirus. Ha pasado bastante tiempo desde entonces y los antivirus modernos se diferencian de aquellos primeros antivirus, como un ordenador personal se diferencia de una calculadora.

En el primer párrafo de este artículo, se dio una definición algo "ingenua" del "motor" antivirus. A continuación, se darán una serie de definiciones precisas y descripciones tecnológicas que, en última instancia, le permitirán comprender completamente la estructura y los algoritmos del motor antivirus.

Anti-Virus Engine es un módulo de software diseñado para detectar software malicioso. El "motor" es el componente principal de cualquier programa antivirus, independientemente de su finalidad. El motor se utiliza tanto en productos personales (un escáner o monitor personal) como en soluciones de servidor (un escáner para un servidor de correo o archivos, un firewall o un servidor proxy). Como regla general, para detectar malware, la mayoría de los "motores" implementan las siguientes tecnologías:
Búsqueda por "firmas" (una secuencia única de bytes);
Búsqueda por sumas de verificación o CRC (suma de verificación con una secuencia única de bytes);
Usando una máscara reducida;
Criptoanálisis;
Análisis estadístico;
Análisis heurístico;
Emulación.
Veamos cada uno de estos métodos con más detalle.

Búsqueda por "firmas"

Una firma es una “cadena” única de bytes que caracteriza de manera única a un programa malicioso en particular. La búsqueda de firmas, con una modificación u otra, se ha utilizado para detectar virus y otros programas maliciosos, desde los primeros programas antivirus hasta la actualidad. La ventaja innegable de la búsqueda de firmas es la velocidad de funcionamiento (cuando se utilizan algoritmos especialmente desarrollados, por supuesto) y la capacidad de detectar varios virus con una sola firma. Desventaja: el tamaño de la firma para una detección confiable debe ser bastante grande, al menos de 8 a 12 bytes (generalmente se usan firmas mucho más largas, de hasta 64 bytes, para una detección precisa), por lo tanto, el tamaño de la base de datos antivirus será ser bastante grande. Además, recientemente, los programas maliciosos escritos en lenguajes de alto nivel (C++, Delphi, Visual Basic) se han generalizado cada vez más y dichos programas tienen partes separadas del código que prácticamente no cambian (la llamada Biblioteca de tiempo de ejecución). ). Una firma elegida incorrectamente conducirá inevitablemente a un falso positivo: la detección de un archivo "limpio" y no infectado como infectado con un virus. Como solución a este problema, se propone utilizar firmas muy grandes o utilizar la detección para determinadas áreas de datos, por ejemplo, tablas de reubicación o cadenas de texto, lo que no siempre es bueno.

Búsqueda por sumas de verificación (CRC)

La búsqueda por sumas de verificación (CRC - verificación de redundancia cíclica), es esencialmente una modificación de la búsqueda por firmas. El método se desarrolló para evitar las principales desventajas de la búsqueda de firmas: el tamaño de la base de datos y reducir la probabilidad de falsos positivos. La esencia del método es que para buscar código malicioso, no solo se toma la línea de "referencia": la firma, o más bien, la suma de verificación de esta línea, sino también la ubicación de la firma en el cuerpo del programa malicioso. La ubicación se utiliza para evitar tener que calcular sumas de verificación para todo el archivo. Así, en lugar de 10-12 bytes de firma (mínimo), se utilizan 4 bytes para almacenar la suma de comprobación y otros 4 bytes para la ubicación. Sin embargo, el método de búsqueda por suma de comprobación es algo más lento que la búsqueda por firma.
El uso de máscaras para detectar códigos maliciosos a menudo se complica por la presencia de código cifrado (los llamados virus polimórficos), ya que es imposible seleccionar una máscara o una máscara del tamaño máximo no cumple la condición de unívocamente Identificar un virus sin falsos positivos.
La imposibilidad de elegir una mascarilla de tamaño suficiente en el caso de un virus polimórfico se explica fácilmente. Al cifrar su cuerpo, el virus se asegura de que la mayor parte de su código en el objeto afectado sea una variable y, en consecuencia, no pueda seleccionarse como máscara. (Los virus polimórficos y autocifrados se describen con más detalle en el apéndice al final del artículo).
Para detectar dichos virus se utilizan los siguientes métodos: el uso de una máscara reducida, criptoanálisis y análisis estadístico. Veamos estos métodos con más detalle.

Usar una mascarilla reducida

Al infectar objetos, un virus que utiliza cifrado convierte su código en una secuencia cifrada de datos:
S = F(T), donde
T - código base del virus;
S - códigos de virus cifrados;
F es la función de cifrado del virus, seleccionada aleatoriamente de un determinado conjunto de transformaciones (F).
El método de máscara reducida consiste en elegir una transformación R de los códigos de virus cifrados S, de manera que el resultado de la transformación (es decir, alguna secuencia de datos S") no dependa de las claves de transformación F, es decir
S=F(T)
S" = R (S) = R (F (T)) = R" (T).
Al aplicar la transformación R a todas las variantes posibles del código cifrado S, el resultado S" será constante a una T constante. Así, la identificación de los objetos afectados se realiza eligiendo S" como máscara reducida y aplicando la transformación R a los objetos afectados.

Criptoanálisis

Este método es el siguiente: utilizando un código base conocido del virus y un código cifrado conocido (o un código "sospechoso" similar al cuerpo cifrado del virus), se restauran las claves y el algoritmo del programa descifrador. Luego, este algoritmo se aplica a la parte cifrada, lo que da como resultado el cuerpo descifrado del virus. Al resolver este problema, debes lidiar con un sistema de ecuaciones.
Como regla general, este método funciona mucho más rápido y ocupa mucha menos memoria que emular instrucciones de virus. Sin embargo, resolver este tipo de sistemas suele ser una tarea muy compleja.
Además, el principal problema es el análisis matemático de la ecuación resultante o del sistema de ecuaciones resultante. En muchos sentidos, el problema de resolver sistemas de ecuaciones al recuperar el cuerpo cifrado de un virus se parece al problema criptográfico clásico de recuperar texto cifrado con claves desconocidas. Sin embargo, aquí esta tarea suena algo diferente: es necesario descubrir si un determinado código cifrado es el resultado de aplicar alguna función conocida hasta las claves. Además, se conocen de antemano muchos datos para resolver este problema: una sección del código cifrado, una sección del código no cifrado, posibles variantes de la función de transformación. Además, el propio algoritmo de esta transformación y las claves también están presentes en los códigos analizados. Sin embargo, existe una limitación importante: este problema debe resolverse dentro de los límites específicos de la RAM y el procedimiento de solución no debería llevar mucho tiempo.

Análisis estadístico

También se utiliza para detectar virus polimórficos. Durante su funcionamiento, el escáner analiza la frecuencia de uso de los comandos del procesador, crea una tabla de los comandos del procesador encontrados (códigos de operación) y, basándose en esta información, llega a la conclusión de que el archivo está infectado con un virus. Este método es eficaz para buscar algunos virus polimórficos, ya que estos virus utilizan un conjunto limitado de comandos en el descifrador, mientras que los archivos "limpios" utilizan comandos completamente diferentes con una frecuencia diferente. Por ejemplo, todos los programas de MS-DOS suelen utilizar la interrupción 21h (código de operación CDh 21h), pero este comando prácticamente nunca se encuentra en el descifrador de virus polimórficos de DOS.
La principal desventaja de este método es que existen varios virus polimórficos complejos que utilizan casi todos los comandos del procesador y de una copia a otra el conjunto de comandos utilizados cambia mucho, es decir, no es posible detectar un virus utilizando la frecuencia construida. mesa.

Análisis heurístico

Cuando el número de virus superó los cientos, los expertos en antivirus empezaron a pensar en la idea de detectar malware cuya existencia el programa antivirus aún no sabía (no había firmas correspondientes). Como resultado, se crearon los llamados analizadores heurísticos. Un analizador heurístico es un conjunto de rutinas que analizan el código de archivos ejecutables, macros, scripts, memoria o sectores de arranque para detectar diferentes tipos de programas informáticos maliciosos. Hay dos principios operativos del analizador.

Método estático. Busque firmas cortas comunes que estén presentes en la mayoría de los virus (los llamados comandos "sospechosos"). Por ejemplo, una gran cantidad de virus buscan virus usando la máscara *.EXE, abren el archivo encontrado y escriben en el archivo abierto. La tarea de la heurística en este caso es encontrar firmas que reflejen estas acciones. Luego se analizan las firmas encontradas y, si se encuentra una cierta cantidad de "comandos sospechosos" necesarios y suficientes, se decide que el archivo está infectado. La gran ventaja de este método es su facilidad de implementación y su buena velocidad, pero el nivel de detección de nuevo malware es bastante bajo.

Método dinámico. Este método apareció simultáneamente con la introducción de la emulación de comandos del procesador en los programas antivirus (el emulador se describe con más detalle a continuación). La esencia del método es emular la ejecución del programa y registrar todas las acciones "sospechosas" del programa. Sobre la base de este protocolo, se toma una decisión sobre la posible infección del programa con un virus. A diferencia del método estático, el método dinámico exige más recursos de la computadora; sin embargo, el nivel de detección del método dinámico es mucho mayor.

Emulación

La tecnología de emulación de código de programa (o Sandboxing) fue una respuesta a la aparición de una gran cantidad de virus polimórficos. La idea de este método es emular la ejecución de un programa (tanto infectado con un virus como uno “limpio”) en un “entorno” especial, también llamado buffer de emulación o “sandbox”. Si un archivo infectado con un virus polimórfico ingresa al emulador, después de la emulación, el cuerpo descifrado del virus aparece en el búfer, listo para ser detectado por métodos estándar (búsqueda de firma o CRC).
Los emuladores modernos no solo emulan los comandos del procesador, sino también las llamadas del sistema operativo. La tarea de escribir un emulador completo requiere bastante mano de obra, sin mencionar el hecho de que cuando se usa un emulador hay que monitorear constantemente las acciones de cada comando. Esto es necesario para evitar la ejecución accidental de componentes destructivos del algoritmo del virus.
Cabe señalar especialmente que es necesario emular el funcionamiento de las instrucciones de los virus y no rastrearlas, ya que al rastrear un virus, la probabilidad de encontrar instrucciones o códigos destructivos responsables de la propagación del virus es demasiado alta.

Base de datos del motor antivirus

La base de datos es una parte integral del motor antivirus. Además, si asumimos que un "motor" bien diseñado no cambia con tanta frecuencia, entonces la base de datos antivirus cambia constantemente, porque es en la base de datos antivirus donde se encuentran firmas, sumas de verificación y módulos de software especiales para detectar malware. . Como usted sabe, aparecen nuevos virus, gusanos de red y otros programas maliciosos con una frecuencia envidiable y, por lo tanto, es muy importante que la base de datos antivirus se actualice con la mayor frecuencia posible. Si hace cinco años las actualizaciones semanales eran suficientes, hoy simplemente es necesario recibir al menos actualizaciones diarias de la base de datos antivirus.
También es muy importante qué hay exactamente en la base de datos antivirus: si solo hay registros de virus o procedimientos de software adicionales. En el segundo caso, es mucho más fácil actualizar la funcionalidad del motor antivirus simplemente actualizando las bases de datos.

Soporte para objetos anidados "complejos"

Los motores antivirus han cambiado mucho en los últimos años. Si los primeros antivirus, para ser considerados un programa de primera clase, solo tenían que verificar la memoria del sistema, los archivos ejecutables y los sectores de arranque, unos años más tarde, debido a la creciente popularidad de las utilidades especiales para empaquetar módulos ejecutables, los desarrolladores Nos enfrentamos a la tarea de descomprimir el archivo empaquetado antes de escanearlo.
Luego surgió un nuevo problema: los virus aprendieron a infectar archivos archivados (y los propios usuarios a menudo enviaban archivos infectados en archivos comprimidos). Los antivirus también se vieron obligados a aprender a procesar archivos comprimidos. En 1995 apareció el primer virus de macro que infectó documentos de Microsoft Word. Vale la pena señalar que el formato de documento utilizado por Microsoft Word es cerrado y muy complejo. Varias empresas de antivirus aún no saben cómo procesar dichos archivos por completo.
Hoy en día, debido a la enorme popularidad del correo electrónico, los motores antivirus también procesan tanto las bases de datos de mensajes de correo como los propios mensajes.

Métodos de detección

Un “motor” antivirus típico, que se implementa en cada programa antivirus, utiliza todas las tecnologías necesarias para detectar malware: un analizador heurístico eficaz, un emulador de alto rendimiento y, lo más importante, una arquitectura de software competente y flexible. Subsistema de detección de malware, que permite el uso de todos los métodos de detección anteriores.
Casi todos los motores antivirus utilizan la detección de suma de comprobación como método básico. Este método se eligió basándose en el requisito de minimizar el tamaño de las bases de datos antivirus. Sin embargo, la arquitectura del motor suele ser tan flexible que permite el uso de cualquiera de los métodos de detección enumerados anteriormente, que es lo que se hace con algunos virus particularmente complejos. Esto le permite lograr un alto nivel de detección de virus. La arquitectura del motor antivirus se presenta con más detalle en el diagrama que aparece más adelante en el texto.
La aplicación práctica de métodos para detectar virus polimórficos (criptoanálisis y análisis estadístico, uso de máscara reducida y emulación) se reduce a elegir el método más óptimo en términos de velocidad y cantidad de memoria necesaria. El código de la mayoría de los virus autocifrados se restaura con bastante facilidad mediante el procedimiento de emulación. Si utilizar un emulador no es la solución óptima, entonces el código del virus se restaura mediante una subrutina que implementa la transformación inversa: el criptoanálisis. Para detectar virus que no se pueden emular y virus para los que no es posible construir una transformación inversa, se utiliza el método de construcción de máscaras reducidas.
En algunos de los casos más complejos, se utiliza una combinación de los métodos anteriores. Se emula parte del código del descifrador y los comandos que son realmente responsables del algoritmo de descifrado se extraen del descifrador. Luego, a partir de la información recibida, se construye y resuelve un sistema de ecuaciones para restaurar el código del virus y detectarlo.
También se utiliza una combinación de métodos cuando se utiliza cifrado múltiple, cuando el virus cifra su cuerpo varias veces utilizando diferentes algoritmos de cifrado. A menudo se utiliza un método combinado de recuperación de información o emulación "pura" del código descifrador porque cada nuevo virus debe analizarse e incluirse en la base de datos antivirus en el menor tiempo posible, lo que no siempre se ajusta a los requisitos necesarios. análisis matemático. Y como resultado, hay que utilizar métodos más complicados para detectar un virus, a pesar de que los métodos de análisis matemático del algoritmo descifrador son bastante aplicables.

Trabajar con objetos "complejos"

Los motores antivirus admiten trabajar con una gran cantidad de formatos de empaquetado y archivo. Los desarrolladores rara vez publican una lista completa (o al menos suficientemente detallada) de los formatos compatibles. La siguiente es información publicada oficialmente sobre la compatibilidad con formatos "complejos" en Kaspersky Anti-Virus. En otros productos antivirus, la lista de formatos compatibles debería ser aproximadamente la misma.
El motor Kaspersky Anti-Virus admite el trabajo con más de 400 utilidades diferentes para empaquetar archivos ejecutables, instaladores y archivadores (más de 900 modificaciones en total, hasta mayo de 2003). Entre ellos:

Empaquetadores de archivos ejecutables y sistemas de cifrado. Los más populares: Diet, AVPACK, COMPACK, Epack, ExeLock, ExePack, Expert, HackStop, Jam, LzExe, LzCom, PaquetBuilder, PGMPAK, PkLite, PackWin, Pksmart, Protect, ProtEXE, RelPack, Rerp, Rjcrush, Rucc, Scramb , SCRNCH, Shrink, Six-2-Four, Syspack, Trap, UCEXE, Univac, UPD, UPX (varias versiones), WWPACK, ASPack (varias versiones), ASProtect (varias versiones), Astrum, BitArts, BJFnt, Cexe, Cheaters, Dialect, DXPack, Gleam, CodeSafe, ELFCrypt, JDPack, JDProtect, INFTool, Krypton, Neolite, ExeLock, NFO, NoodleCrypt, OptLink, PCPEC, PEBundle, PECompact (varias versiones), PCshrink, PE-Crypt, PE-Diminisher, PELock, PEncrypt, PE-Pack (varias versiones), PE-Protect, PE-Shield, Petite, Pex, PKLite32, SuperCede, TeLock, VBox, WWPack32, XLok, Yoda.
La compatibilidad con tantos empaquetadores y archivadores permite reducir el tiempo de análisis de nuevos virus, lo que conduce a un aumento en la velocidad de respuesta ante la aparición de un nuevo virus, y a lograr un alto nivel de detección de virus ya conocidos.

Archivadores e instaladores (más de 60 en total). Los más populares: CAB, ARJ, ZIP, GZIP, Tar, AIN, HA, LHA, RAR, ACE, BZIP2, WiseSFX (varias versiones), CreateInstall, Inno Installer, StarDust Installer, MS Expand, GKWare Setup, SetupFactory, Especialista en configuración, NSIS, Astrum, PCInstall, Effect Office.
La compatibilidad con una gran cantidad de tipos de archivadores es especialmente importante para escanear sistemas de correo, ya que la gran mayoría de los virus se envían por correo en forma archivada. Los objetos se descomprimen independientemente del nivel de anidamiento de los archivos. Por ejemplo, si un archivo infectado está empaquetado con UPX y luego el archivo está empaquetado en un archivo ZIP, que a su vez está empaquetado en un archivo CAB, etc., entonces el motor antivirus aún debería poder llegar al archivo original y detectar el virus.
Cabe señalar que tales consideraciones no son en absoluto teóricas. Así, es ampliamente conocido el programa troyano Backdoor.Rbot, que se distribuía junto con muchos programas diferentes (Ezip, Exe32Pack, ExeStealth, PecBundle, PECompact, FSG, UPX, Morphine, ASPack, Petite, PE-Pack, PE-Diminisher, PELock). , PESpin, TeLock, Molebox, Yoda, Ezip, Krypton, etc.).
El algoritmo de descompresión de archivos suele tener suficiente inteligencia para no descomprimir todo tipo de "bombas de archivos": archivos pequeños que contienen archivos enormes (con una relación de compresión muy alta) o varios archivos idénticos. Normalmente, escanear un archivo de este tipo lleva mucho tiempo, pero los motores antivirus modernos suelen reconocer este tipo de "bombas".

El mecanismo para actualizar las bases de datos antivirus y su tamaño.

Las actualizaciones de la base de datos antivirus suelen publicarse varias veces al día. Algunos pueden publicar actualizaciones una vez cada hora, otros, una vez cada dos horas. En cualquier caso, dado el alto nivel de peligrosidad actual en Internet, una actualización tan frecuente de las bases de datos antivirus está completamente justificada.
El tamaño de las actualizaciones indica la arquitectura bien pensada del motor antivirus. Por tanto, el tamaño de las actualizaciones periódicas de las empresas líderes del sector no suele superar los 30 KB. Al mismo tiempo, las bases de datos antivirus suelen contener alrededor del 70% de la funcionalidad de todo el motor antivirus. Cualquier actualización de la base de datos antivirus puede agregar soporte para un nuevo empaquetador o archivador. De este modo, al actualizar diariamente la base de datos antivirus, el usuario recibe no sólo nuevos procedimientos para detectar nuevo malware, sino también una actualización de todo el antivirus. Esto le permite reaccionar de forma muy flexible ante la situación y garantizar al usuario la máxima protección.

Analizador heurístico

El analizador heurístico, que forma parte de casi todos los antivirus, utiliza los dos métodos de análisis descritos anteriormente: criptoanálisis y análisis estadístico. Un analizador heurístico moderno está diseñado desde cero para ser extensible (a diferencia de la mayoría de los analizadores heurísticos de primera generación, que fueron diseñados para detectar malware solo en módulos ejecutables).
Actualmente, el analizador heurístico permite detectar códigos maliciosos en archivos ejecutables, sectores y memoria, así como nuevos virus script y malware para Microsoft Office (y otros programas que utilizan VBA) y, finalmente, códigos maliciosos escritos en lenguajes de alto nivel. , como Microsoft Visual Basic.
La arquitectura flexible y la combinación de varios métodos nos permiten alcanzar un nivel bastante alto de detección de nuevo malware. Al mismo tiempo, los desarrolladores están haciendo todo lo posible para reducir al mínimo el número de falsas alarmas. Los productos presentados por los líderes de la industria antivirus rara vez cometen errores al detectar códigos maliciosos.

El siguiente diagrama describe un algoritmo aproximado para el funcionamiento del motor antivirus. Cabe señalar que la emulación y la búsqueda de malware conocido y desconocido se producen simultáneamente.

Como se mencionó anteriormente, al actualizar la base de datos antivirus, también se actualizan y agregan módulos para descomprimir archivos comprimidos, un analizador heurístico y otros módulos del motor antivirus.

Tecnologías originales en antivirus.
"motores"

Casi todos los desarrolladores de productos antivirus implementan algunas de sus propias tecnologías que hacen que el programa sea más eficiente y productivo. Algunas de estas tecnologías están directamente relacionadas con el diseño del “motor”, ya que muchas veces el rendimiento de toda la solución depende de su funcionamiento. A continuación, consideraremos una serie de tecnologías que pueden acelerar significativamente el escaneo de objetos al tiempo que garantizan la preservación de una detección de alta calidad, así como también mejoran la detección y el tratamiento de software malicioso en archivos archivados.
Comencemos con la tecnología iChecker. Esta tecnología y sus análogos se implementan en casi todos los antivirus modernos. Cabe señalar que iChecker es un nombre propuesto por los especialistas de Kaspersky Lab. Los expertos, por ejemplo, Panda Software lo llaman UltraFast. Esta tecnología le permite lograr un equilibrio razonable entre la confiabilidad de la protección de las estaciones de trabajo (y especialmente los servidores) y el uso de los recursos del sistema de la computadora protegida. Gracias a esta tecnología, se reduce significativamente el tiempo de carga (hasta un 30-40%) del sistema operativo (en comparación con la protección antivirus tradicional) y el tiempo de inicio de aplicaciones con protección antivirus activa. Esto garantiza que todos los archivos en los discos de la computadora hayan sido escaneados y no estén infectados. La idea principal de esta tecnología es que no es necesario comprobar lo que no ha cambiado y ya se ha comprobado. El motor antivirus mantiene una base de datos especial en la que se almacenan las sumas de comprobación de todos los archivos analizados (y no infectados). Ahora, antes de enviar el archivo para verificación, el "motor" calcula y compara la suma de verificación del archivo con los datos almacenados en la base de datos. Si los datos coinciden, esto significa que el archivo ha sido verificado y no es necesario volver a verificarlo. Vale la pena señalar que el tiempo dedicado a calcular las sumas de comprobación de archivos es significativamente menor que el tiempo que lleva un análisis antivirus.
Un lugar especial en el trabajo del antivirus lo ocupa el tratamiento de objetos archivados infectados. Esto es exactamente lo que se discutirá a continuación. iCure es una tecnología para tratar archivos infectados en archivos. Gracias a esta tecnología, los objetos infectados dentro de los archivos archivados se desinfectarán (o eliminarán, según la configuración del antivirus) con éxito sin el uso de utilidades de archivo externas. Hoy en día, la mayoría de los antivirus admiten los siguientes tipos de archivos: ARJ, CAB, RAR, ZIP. Gracias a la arquitectura modular y las tecnologías para actualizar el motor antivirus, el usuario, por regla general, puede actualizar y ampliar fácilmente la lista de tipos de archivadores compatibles sin reiniciar el antivirus.
iArc es otra tecnología para trabajar con archivos comprimidos. Esta tecnología es necesaria para trabajar con archivos de varios volúmenes. iArc le permite escanear archivos de varios volúmenes y detectar virus incluso si están empaquetados en un archivo de varios volúmenes, que, a su vez, también estará empaquetado en un archivo de varios volúmenes.
Subprocesos múltiples. El “motor” antivirus es un módulo multiproceso y puede procesar simultáneamente (verificar si hay códigos maliciosos) varios objetos (archivos, sectores, scripts, etc.).
La mayoría de las tecnologías enumeradas anteriormente se implementan de una forma u otra en todos los productos antivirus modernos.

Virus polimórficos

A lo largo del artículo, se utilizaron con frecuencia los términos virus "polimórficos" y "autocifrados". Como debería haber quedado claro en las discusiones anteriores, fue este tipo de código malicioso el que tuvo una fuerte influencia en el desarrollo de las tecnologías antivirus. La siguiente es información sobre virus polimórficos proporcionada por expertos de Kaspersky Lab.

Definiciones básicas: autocifrado y polimorfismo. Son utilizados por casi todos los tipos de virus para complicar al máximo el procedimiento de detección del virus. Los virus polimórficos son bastante difíciles de detectar si no tienen firmas, es decir, no contienen una sola sección constante de código. En la mayoría de los casos, dos muestras del mismo virus polimórfico no tendrán una sola coincidencia. Esto se logra cifrando el cuerpo principal del virus y modificando el programa de descifrado. Los virus polimórficos incluyen aquellos que no se pueden detectar (o son extremadamente difíciles) usando las llamadas máscaras de virus: secciones de código constante específicas para un virus en particular. Esto se logra de dos maneras principales: cifrando el código del virus principal con una clave no permanente y un conjunto aleatorio de comandos de descifrado, o cambiando el código del virus ejecutable. También hay otros ejemplos bastante exóticos de polimorfismo: el virus DOS "Bomber", por ejemplo, no está cifrado, pero la secuencia de comandos que transfiere el control al código del virus es completamente polimórfica.
Se encuentran polimorfismos de diversos grados de complejidad en virus de todo tipo, desde virus de arranque y archivos de DOS hasta virus de Windows e incluso virus de macro.

Descifradores polimórficos

El ejemplo más simple de un descifrador parcialmente polimórfico es el siguiente conjunto de comandos, como resultado de lo cual ni un solo byte del código del virus en sí y su descifrador es constante al infectar diferentes archivos:

MOV reg_1, recuento; reg_1, reg_2, reg_3 se seleccionan de
MOV reg_2, clave; HACHA,BX,CX,DX,SI,DI,BP
MOV reg_3, _desplazamiento; count, key, _offset también puede cambiar
_bucle:
xxx bytes ptr, reg_2; xor, agregar o sub
DIC reg_1
bucle_jxx; ja o jnc
; Luego viene el código cifrado y los datos del virus.

Los virus polimórficos complejos utilizan algoritmos mucho más complejos para generar el código de sus descifradores: las instrucciones anteriores (o sus equivalentes) se reorganizan de una infección a otra, diluidas con comandos que no cambian nada como NOP, STI, CLI, STC, CLC, etc.
Los virus polimórficos completos utilizan algoritmos aún más complejos, como resultado de lo cual el descifrador de virus puede contener operaciones SUB, ADD, XOR, ROR, ROL y otras en un número y orden arbitrarios. La carga y cambio de claves y otros parámetros de cifrado también se realiza mediante un conjunto arbitrario de operaciones, en las que se pueden encontrar casi todas las instrucciones del procesador Intel (ADD, SUB, TEST, XOR, OR, SHR, SHL, ROR, MOV, XCHG , JNZ, PUSH, POP ..) con todos los modos de direccionamiento posibles. También aparecen virus polimórficos, cuyo descifrador utiliza instrucciones hasta Intel386, y en el verano de 1997 se descubrió un virus polimórfico de 32 bits que infecta archivos EXE de Windows 95.
Como resultado, al principio de un archivo infectado con dicho virus hay una serie de instrucciones aparentemente sin sentido. Es interesante que algunas combinaciones que son bastante funcionales no son aceptadas por los desensambladores propietarios (por ejemplo, la combinación CS:CS: o CS:NOP). Y entre este "lío" de comandos y datos, de vez en cuando se escapan MOV, XOR, LOOP, JMP, instrucciones que realmente "funcionan".

Niveles de polimorfismo

Existe una división de los virus polimórficos en niveles dependiendo de la complejidad del código que se encuentra en los descifradores de estos virus. Esta división fue propuesta por primera vez por el Dr. Alan Solomon, después de un tiempo Vesselin Bonchev la amplió:

Nivel 1: Virus que tienen un determinado conjunto de descifradores con un código constante; cuando se infectan, eligen uno de ellos. Estos virus son "semipolimórficos" y también se les llama "oligomórficos". Ejemplos: "Cheeba", "Eslovaquia", "Ballena".

Nivel 2: el descifrador de virus contiene una o más instrucciones permanentes, pero la parte principal es inestable.

Nivel 3: el descifrador contiene instrucciones no utilizadas: "basura", como NOP, CLI, STI, etc.

Nivel 4: el descifrador utiliza instrucciones intercambiables e instrucciones de reordenamiento (barajado). El algoritmo de descifrado no cambia.

Nivel 5: Se utilizan todas las técnicas anteriores, el algoritmo de descifrado no es constante, es posible volver a cifrar el código del virus e incluso cifrar parcialmente el código de descifrado.

Nivel 6: Virus permutantes. El código principal del virus está sujeto a cambios: se divide en bloques que, cuando se infectan, se reorganizan en orden aleatorio. El virus sigue siendo funcional. Es posible que estos virus no estén cifrados.

La clasificación anterior tiene sus inconvenientes, ya que se realiza según un único criterio: la capacidad de detectar un virus mediante el código descifrador utilizando la técnica estándar de máscaras antivirus:

Nivel 1: para detectar el virus basta con tener varias mascarillas;
Nivel 2: detección de máscara mediante "comodines";
Nivel 3: detección mediante mascarilla tras retirar instrucciones “basura”;
Nivel 4: la máscara contiene varias opciones para posible código, es decir, se vuelve algorítmica;
Nivel 5: incapacidad para detectar el virus usando la máscara.

La insuficiencia de dicha división se demuestra en el virus del tercer nivel de polimorfismo, que se denomina “Nivel 3”. Este virus, al ser uno de los virus polimórficos más complejos, según la división anterior cae en el Nivel 3, ya que tiene un algoritmo de descifrado constante, precedido por una gran cantidad de comandos "basura". Sin embargo, en este virus el algoritmo de generación de basura se ha perfeccionado: casi todas las instrucciones del procesador i8086 se pueden encontrar en el código de descifrado.
Si dividimos en niveles desde el punto de vista de los antivirus que utilizan sistemas para descifrar automáticamente el código del virus (emuladores), entonces la división en niveles dependerá de la complejidad de emular el código del virus. Es posible detectar un virus utilizando otros métodos, por ejemplo, descifrado utilizando leyes matemáticas elementales, etc.
Una clasificación más objetiva sería aquella en la que, además del criterio de las mascarillas virales, también intervinieran otros parámetros, por ejemplo:
El grado de complejidad del código polimórfico (el porcentaje de todas las instrucciones del procesador que se pueden encontrar en el código descifrador);
Utilizar técnicas especiales que dificultan la emulación a los antivirus;
Constancia del algoritmo descifrador;
Constancia de la longitud del descifrador.

Cambiar el código ejecutable

Muy a menudo, este método de polimorfismo es utilizado por virus de macro que, al crear nuevas copias de sí mismos, cambian aleatoriamente los nombres de sus variables, insertan líneas vacías o cambian su código de alguna otra manera. Por lo tanto, el algoritmo del virus permanece sin cambios, pero el código del virus cambia casi por completo de una infección a otra.
Este método lo utilizan con menos frecuencia los virus de arranque complejos. Estos virus inyectan solo un procedimiento bastante corto en los sectores de arranque, que lee el código principal del virus del disco y le transfiere el control. El código para este procedimiento se selecciona entre varias opciones diferentes (que también se pueden mezclar con comandos "vacíos"), se reorganizan los comandos, etc.
Esta técnica es aún menos común con los virus de archivos; después de todo, tienen que cambiar completamente su código y esto requiere algoritmos bastante complejos. Hasta la fecha, sólo se conocen dos virus de este tipo, uno de los cuales ("Ply") mueve aleatoriamente sus comandos por su cuerpo y los reemplaza con comandos JMP o CALL. Otro virus ("TMC") utiliza un método más complejo: cada vez que se infecta, el virus intercambia bloques de su código y datos, inserta "basura", establece nuevos valores de compensación en los datos en sus instrucciones de ensamblaje, cambia constantes, etc. Como resultado, aunque el virus no cifra su código, es un virus polimórfico: no hay un conjunto constante de comandos en el código. Además, al crear nuevas copias de sí mismo, el virus cambia su longitud.