Como os anti-vírus funcionam
Autor: ivonildojrgep | Publicado: 2012-03-26T08:16:00-07:00

Recentemente tenho sido questionado sobre a eficiência dos anti-virus, para esclarecer este ponto segue abaixo um texto muito interessante. Boa leitura.Por Mariano Sumrell. (http://www.seginfo.com.br/os-antivirus-funcionam/)Diariamente surgem mais de 40 mil novas ameaças na Internet. E essenúmero cresce constantemente. Essa enorme   produção é fruto de umaatividade profissional muito bem organizada, o Cibercrime. Estima-seque o cibercrime   movimente globalmente tanto dinheiro quanto onarcotráfico. É claro que a produção de malwares é apenas uma dasatividades do cibercrime que engloba espionagem industrial, sabotagem,aluguel de botnets, envio de SPAMs, venda   de produtos e muitosoutros.Mas o fato é que a produção de malwares cresce em quantidade esofisticação. E os fabricantes de antivírus e outros   produtos desegurança precisam acompanhar esse ritmo para proteger os seususuários. Nesse artigo vamos entender como os antivírus estão sendocapazes de oferecer proteção contra as atuais ameças.Existem diferentes tipos de programas maliciosos ou malwares(MALicious softWARE): vírus, worms, cavalos de tróia ou trojans eoutros. Neste artigo, vamos usar o termo vírus como é entendidoinformalmente, ou seja, como uma designação genérica de ameaças oumalware.Detecção por AssinaturaA maneira tradicional dos softwares identificarem um vírus é adetecção por assinatura. Consiste em identificar uma sequência debytes que caracterizam um malware. Essa assinatura é obtida depois queum vírus é identificado. Para isso os fabricantes de antivírus tempontos de coleta espalhados em todo o mundo e contam ainda comcolaboradores em diversos países. No Brasil, a Winco envia diariamentepara o AVG amostras que recebemos de diferentes fontes, inclusive deuma colaboração com oCSIRT (Computer Security Incident Response Team)do Banco do Brasil.Além da quantidade enorme de amostras que tem de ser analisadas e deassinaturas geradas, é necessário lidar com os vírus polimórficos.Vírus polimórficos se automodificam para dificultar a sua detecção.Essa modificação normalmente é feita empacotando o código maliciosousando técnicas de criptografia. Os antivírus tem de ser capazes deencontrar a assinatura em todas as variantes.A detecção por assinatura de vírus conhecidos é muito eficiente e porisso continua sendo utilizado por todos os fabricantes de antivírus.Mas esse método tem um grande problema: a janela de tempo entre osurgimento do vírus e a atualização do arquivo de assinaturas namáquina do usuário. Por isso, são necessários outras camadas deproteção, com novas técnicas de detecção. No restante deste artigo,descreverei essas novas técnicas que estão sendo usadas na guerracontra o cibercrime.Detecção HeurísticaHá duas formas de heurística: estática e dinâmica.Na heurística estática, o arquivo é analisado a procura não deassinaturas conhecidas, mas de padrões de código suspeitos eutilizados em vírus. Uma sequência de NOPs (instrução de no operation)ou loops que não fazem nada útil, por exemplo, são bastante comuns emvírus polimórficos.Na heurística dinâmica, o código é executado por algum tempo em umemulador. Depois desse tempo, o código é analisado novamente. Essatécnica serve para detectar vírus polimórficos utilizando novosmétodos de empacotamento.Análise ComportamentalA análise comportamental monitora o que os programas em execução namáquina estão fazendo. Verifica como um programa está interagindo comoutros programas e que tipo de acesso está fazendo aos recursos docomputador. Assim, pelo comportamento do programa pode-se identificarmalwares ainda não conhecidos. Por exemplo, um programa que interceptao teclado de outra aplicação e começa a acessar a internet éconsiderado suspeito.Proteção no Acesso a SitesHá alguns anos a navegação em sites tem sido um dos principais vetoresde propagação de malwares. Os cibercriminosos estão invadindo sitesidôneos e contaminando-os com software malicioso. Muitas vezes, asimples visita a um site invadido pode contaminar o computador dointernauta. É o chamado drive-by download. Para infectar uma máquina,são exploradas falhas de segurança do navegador ou do sistemaoperacional ou o usuário é induzido a fazer download do softwaremalicioso.As páginas ficam contaminadas por muito pouco tempo. Às vezes porpoucas horas, raramente por mais de um dia. Quem tiver curiosidade detestar algum site, faça uma visita ao AVG Threat Labs.Essa volatilidade implica que uma proteção adequada a esse tipo deataque tem de ser feito em tempo real, analisando o conteúdo daspáginas. Proteção baseada em bancos de dados estáticos de URLscomprometidas tem pouca utilidade nesse caso.FirewallApesar do firewall não ser considerado um produto antivírus, ele temum papel muito importante no bloqueio de ameaças que vem pela rede,explorando falhas de segurança no sistema operacional ou mesmo nacamada aplicação de um servidor. Por isso ele está presente nos suítesmais completos de antivírus.ConclusãoOs antivírus tiveram que incorporar novas tecnologias e métodos deproteção para enfrentar a crescente variedade e sofisticação dossoftwares maliciosos. Todos os elementos apontados acima estãopresentes, por exemplo, num dos softwares mais populares de antivírusdo mundo e do Brasil, o AVG.Com essas novas tecnologias, um bom antivírus consegue oferecer umalto grau de proteção. Mas nenhuma proteção é 100% garantida. Masaliando um bom antivírus com boas práticas de segurança (vide o artigode Bruno Salgado Cartilha de Segurança da Informação para usuáriosnão-técnicos) navego, acesso o meu banco, faço muitas compras pelainternet e me sinto bastante seguro. Posso dizer que o risco que corroao usar o meu cartão de crédito na internet é equivalente ao riscodele ser clonado no mundo real, num restaurante, posto de gasolina ououtro estabelecimento. Aliás, recentemente tive o meu cartão clonadono mundo real e nunca tive problemas no mundo virtual. Mas, nada é100% garantido.Mariano Sumrell Miranda