Как обнаружить инфицированные файлы
Обновлено: 25.04.2024
Образ диска и дамп оперативной памяти позволяет выполнить ПО FTK Imager.
Инструментарий, с помощью которого будет производиться снятие слепка оперативной памяти лучше всего запускать с внешнего носителя, во избежания оставить лишнее следы на жестком диске (данные с жесткого диска необходимо сохранить в неизменном виде).
Важно помнить следующие:
- В случае заражения ПК вирусом шифровальщиком есть шанс что при потере сетевого соединения, малварь начнет шифровать все данные на ПК, Вам необходимо предварительно оценить важность и критичность информации расположенной на зараженном ПК.
- Чтобы малварь не успела среагировать на выключение системы, проще всего выдернуть кабель питания.
Перед началом исследования малвари статическим и динамическим анализом, необходимо подготовить безопасную среду, которая должна включать в себя следующие:
1.Подготовить виртуальную машину с помощью Virtual Box или VMware (Важно актуальной версии), или отдельно выделенный ПК, желательно с Windows 7.
Далее следующий софт, который должен быть установлен для благоприятной среды выполнения вредоносного кода:
Так же необходимо изолировать виртуальную среду от основной ОС:
- Отключение Drag&Drop
- Отключение общих папок
- Отключение буфера обмена
- Отключение от сети. Если интернет нужен настраиваем VPN.
- Удаляем VMware Tools, virtualbox guest additions (малварь может обнаружить данные дополнения и перестать выполняться т.к. выполнение вредоносного кода в виртуальной среде один из признаков ее исследования)
2. Необходимо настроить выход в сеть интернет используя VPN, чтобы поддерживать связь с сервера управления вредоносным ПО.
3. Чтобы была возможность откатиться на первоначальное состояние тестовой среды, необходимо сделать snapshot.
И так, статический анализ:
1. Проверка потенциально вредоносного файла антивирусным ПО.
2. Залив потенциально вредоносного файла на VirusTotal, в данном случае осторожно с потенциально конфиденциальной/приватной информацией, так как после залива она будет доступна всем. Либо осуществить поиск по сгенерированной хеш сумме.
Каждый день вредоносные сайты и вложения пытаются вынудить пользователей загрузить их опасное содержимое.
К счастью, существует большое количество веб-ресурсов и инструментов, которые помогают выяснить, какие сайты являются безопасными, а какие представляют собой ловушку, предназначенную для кражи персональной информации и денежных средств.
Киберпреступники стали хитрее и умнее, становится все труднее обнаружить вредоносный сайт или файл.
Тем не менее, обладая определенной информацией, некоторые мошеннические уловки несложно обнаружить. Например, при получении звонка от сотрудника Microsoft, который утверждает, что согласно отчетам ваша система заражена вредоносными программами, можно быть уверенным, что это мошенничество. Microsoft никогда не осуществляет звонки совершенно неожиданно, пользователь первоначально должен самостоятельно обратиться в центр поддержки.
Тем не менее, распознать, является ли электронное письмо или внешняя ссылка опасными, может быть довольно сложной задачей. Приведем несколько полезных инструментов и стратегий для выявления хорошо замаскированных угроз.
Помощь от онлайн-ресурсов
Предположим, что Вы не хотите проверять подозрительные ссылки из браузера каждый день. Серьезно рассмотрите вопрос использования виртуальной машины или конфигурации с двойной загрузкой для тестирования подозрительных ссылок и файлов. В наше время виртуальные машины совсем несложно развернуть, используя Microsoft Hyper-V, Oracle VirtualBox или VMware Workstation. Просто помните: виртуальная система должна иметь собственную действительную лицензию.
Затем Вы, скорее всего, захотите добавить в закладки веб-сервисы, которые позволяют загружать подозрительные файлы и проверять потенциально опасные сайты. Иногда подобные ресурсы сообщают, что вредоносная ссылка известна для антивирусных вендоров, но в других случаях они подчеркивают, что антивирусные продукты не всегда помечают зловредные объекты.
Если антивирус не позволяет скачать файл (чтобы впоследствии загрузить на VirusTotal), значит, продукт распознал вредоносное содержимое. Согласно отчету VirusTotal только 13 из 57 антивирусных движков обнаружили угрозу в тестовом вложении.
Рисунок 1. VirusTotal показывает, что только 13 из 57 антивирусных движков распознали подозрительный ZIP-файл как вредоносный
Существует большое количество веб-ресурсов, которые помогают обнаружить вредоносные файлы или ссылки, а именно:
Рисунок 2. Проверка веб-сайта с помощью сервиса urlQuery
Существуют более продвинутые инструменты для исследования вредоносных веб-серверов и их местоположений или для отслеживания источников отправления опасных электронных писем.
Опять же, многие инструменты доступны из Интернета, приведем лишь некоторые из них. (Примечание: Вам нужно проверить условия использования у вашего провайдера и внутреннее законодательство, чтобы убедиться в легитимности использования данных инструментов против сайтов, которые Вы не контролируете. Для тестовых нужд использовался собственный сайт редактора).
Сохраняйте безопасность вашей системы и будьте в курсе!
Разумеется, после посещения потенциально опасных сайтов и загрузки подозрительных файлов, Вы захотите проверить свою систему с помощью антивирусного сканера, ведь есть вероятность, что Вы случайно инфицировали виртуальную машину или неосновную систему.
Для тщательной глубокой проверки Windows эффективнее использовать загрузочные антивирусные инструменты, например Kaspersky Rescue Disk. Сканирование с помощью альтернативной ОС помогает выявлять угрозы, которые успешно скрываются от защиты для Windows. Примечание, если Вы используете современный компьютер с UEFI, Вам нужно будет выполнить дополнительные манипуляции для запуска загрузочного диска.
Своевременная информация об актуальных изменениях вредоносного ПО также улучшит вашу безопасность. Вредоносные атаки часто поступают волнами, поэтому важно знать, какие типы атак в данный момент находятся в пике.
Среди иностранных источников актуальной информации об угрозах можно выделить OUCH! Security Awareness Newsletter и популярный сайт Krebs on Security (Брайан Кребс является бывшим журналистом Washington Post, который сейчас пишет об активности киберпреступников).
Компьютерная безопасность всегда будет представлять собой противоборство между новыми и инновационными методиками взлома и развивающимися защитами. В настоящее время, регулярное обновление антивируса не является достаточной мерой безопасности. Для профилактики заражений подумайте, прежде чем переходить по подозрительной ссылке.
Для пользователей, которые трепетно относятся к безопасности, приведенные ссылки определенно будут полезны.
Облачные антивирусные сканеры являются полезными инструментами для дополнительного анализа подозрительных файлов, причем для проведения проверки пользователи не нужно устанавливать программу.
Были протестированы онлайн сканеры
При отборе участников тестирования в первую очередь использовались финалисты Digital Citizen Awards 2016. Исследователи проверяли, предлагает ли вендор онлайн инструмент сканирования. К сожалению не все компании предлагают подобные возможности, и не все инструменты отличаются высоким качеством.
Очень быстро стало ясно, что не все продукты являются классическими онлайн сканерами, которые работают в браузере. Многие антивирусные вендоры сейчас предлагают автономные утилиты, которые нужно загружать и устанавливать на компьютере. Они могут работать совместно с основной антивирусной защитой без конфликтов и проблем с производительностью. Они могут использоваться только при необходимости дополнительно проверить статус безопасности системы.
Важное замечание: данный тест не включает полноценные антивирусные продукты. В испытании принимают участие бесплатные инструменты, которые могут использоваться для сканирования и оценки безопасности системы. Данные программы не предназначены для замены основных решений безопасности, в частности антивирусов, фаерволов, инструментов защиты от шпионского ПО. Они должны быть использованы для дополнения антивирусной защиты и помощи при идентификации потенциальных проблем в системе, которые могут быть вызваны действием вредоносных программ.
Как проходила процедура тестирования?
Во-первых, выяснялась концепция и архитектура продукта - является ли он классическим онлайн сканером, автономным приложением или гибридной версией двух подходов. Перед тем, как установить или запустить тестируемый продукт, тестовая система заражалась вредоносными объектами. Затем посещались опасные веб-сайты с нежелательными куки, предложениями установки тулбаров и вредоносных программ.
После того, как исследователи убеждались, что система инфицирована, а на диске были сохранены опасные файлы, сканеры последовательно запускались. Фиксировалось время сканирования системы, количество обнаруженных образцов, предоставляемая информация об угрозах и предлагаемые решения. Сканирования выполнялись на разделе размером в 20 гигабайт с 17 гигабайтами занятого пространства. Тестовая машина управлялась Windows 10 с отключенным Защитником Windows, в системе было принудительно запущено 17 вредоносных программ.
Bitdefender QuickScan
Bitdefender QuickScan - один из настоящих онлайн сканеров. Тем не менее, запустить сканер можно не во всех браузерах. Bitdefender QuickScan поддерживает работу в Internet Explorer, Mozilla Firefox и Google Chrome. Отличительной чертой сканера является высокая скорость работы - проверка тестовой системы заняла менее одной минуты.
К сожалению, Bitdefender QuickScan просто сообщает, заражена система или нет и не сообщает название активной угрозы. Никакую дополнительную информацию пользователь не получает, ему предлагается установить 3-месячную пробную версию Bitdefender Internet Security для дезинфекции системы.
Данный инструмент работает быстро и беспроблемно, но представляет сомнительную ценность для пользователей. Другие вендоры предлагают более интересные альтернативы.
Comodo Cloud Antivirus
Comodo Cloud Antivirus - облачный сканер, который представлен в виде автономной программы, доступной для загрузки и установки на компьютеры Windows. Вы сразу заметите, что сканер выглядит скорее, как полноценной антивирусное решение. Пользовательский интерфейс предлагает большое количество опций и настроек, а также несколько видов анализа системы: быстрое, полное или выборочное сканирования.
Быстрое сканирование тестовой системы с помощью Comodo Cloud Antivirus завершилось за 2 минуты, в результате был обнаружен всего один вредоносный образец. Это слабый результат, поэтому дополнительно было проведено полное сканирование системы. На этот раз проверка выполнялась 59 минут, и Comodo смог обнаружить 13 зловредов из 17.
Comodo Cloud Antivirus - один из немногих антивирусных сканеров, который способен удалить обнаруженные угрозы. Эту особенность ценят пользователи.
ESET Online Scanner
ESET Online Scanner - один из самых лучших онлайн сканеров. Продукт доступен как отдельное приложения для Windows, которые можно загрузить и запустить на компьютере. Перед выполнением сканирования ESET автоматически загружает последние сигнатуры на компьютер и позволяет настраивать параметры проверки. По умолчанию ESET Online Scanner настроен на полное сканирование компьютера: оперативная память, объекты автозагрузки и локальные диски. Пользователь может задать автоматическую очистку обнаруженных угроз, сканирование архивов и проверку на предмет потенциально нежелательных приложений.
Полное сканирование системы заняло более 29 минут, и ESET смог распознать все 17 тестовых образцов. Для каждого отдельного зловреда ESET вывел название и путь расположения. Примечательно, что после окончания проверки, пользователь может настроить удаление файлов сканера из системы.
Продукты ESET продвигаются сдержанно и ненавязчиво. ESET Online Scanner прекрасно справляется с задачами дополнительного сканера и продемонстрировал высокую эффективность в испытании.
F-Secure Online Scanner
F-Secure Online Scanner - другая автономная программа, которую нужно предварительно загружать и запускать. Перед выполнением проверки, продукт загружает новейшие сигнатурные определения.
Затем F-Secure Online Scanner приступает к сканированию системы в поисках вредоносных программ. Пользователь не может ничего настроить и не может выбрать тип проверки - весь процесс выполняется автоматически.
Если F-Secure Online Scanner обнаруживает инфицированные файлы, продукт просит выполнять перезагрузку системы для того, чтобы провести очистку угроз. При желании можно посмотреть информацию о расположении угроз, общем количестве зараженных файлов - если этого недостаточно, можно перейти на сайт для получения дополнительных данных о найденных вредоносных программах.
F-Secure Online Scanner - один из самых быстрых сканеров, проверка тестовой системы с 20-гигабайтным разделом выполнялась менее минуты. F-Secure в итоге обнаружил 12 вирусов из 17.
Kaspersky Security Scan
Kaspersky Security Scan - еще один сканер в формате автономного приложения. Программа имеет простой и понятный интерфейс и позволяет выполнять быстрые или полные проверки системы и даже создавать расписание регулярных сканирований. По умолчанию, инструмент выполняет проверку системы два раза в неделю. К сожалению, Вы не можете изменить частоту проверок, но можете указать конкретные дни недели, когда их нужно запустить.
Быстрое сканирование системы выполнялось 2 минуты, в результате было обнаружено 2 угрозы. Полная проверка проводилась 52 минуты, Kaspersky обнаружил 9 зловредов.
Результаты сканирования представлены в нескольких категориях:
- Вредоносные программы - все обнаруженные зараженные файлы
- Защита системы - показывается, установлена ли в системе антивирусная защита
- Другие проблемы - отображаются проблемы настройки Проводника Windows и браузера Internet Explorer.
McAfee Security Scan Plus
McAfee Security Scan Plus имеет длинное и сложное имя, но в действительно является очень простым приложением для Windows, которое проверяет компьютер на предмет угроз и проблем безопасности. McAfee Security Scan Plus автоматически обновляет свои файлы при запуске, а сканирование тестовой системы продукт выполнил менее, чем за минуту. К сожалению, пользователь не может задавать параметры проверки. В тестовой системе McAfee обнаружил только один вредоносный файл из 17.
Сложно найти причины для регулярной проверки компьютера с помощью McAfee, но McAfee Security Scan Plus предусматривает такую возможность. Пользователь может запланировать проверки, как ему удобно.
McAfee Security Scan Plus не предлагает функцию очистки, поэтому единственный обнаруженный программой образец, остался активным в системе. При Выборе опции защита инструмент перенаправит Вас на сайт McAfee для приобретения подписки McAfee Total Protection для 3 компьютеров. Вам не кажется, что это слишком много для одного зараженного устройства?
Norton Security Scan
Norton Security Scan - десктопное приложение, которые нужно скачивать и устанавливать на компьютере. При запуске программа автоматически загружает новейшие антивирусные определения и обновления движка сканирования. Norton Security Scan проверяет системы не только на предмет вредоносных программ, но и на предмет подозрительных куки и потенциально опасных приложений.
При наведении курсора мыши на обнаруженную угрозу, Norton отображает подробную информацию о ней. После установки Norton Security Scan автоматически запускает сканирование системы, на тестовой машине продукт обнаружил 12 зловредов за 2 минуты. К сожалению, пользователь не может настраивать проверку, удаления обнаруженных угроз тоже недоступно.
При нажатии кнопки “Fix now” Norton Security Scan отправит Вам на сайт и рекомендациями по загрузке продуктов Norton.
Panda Cloud Cleaner
Panda Cloud Cleaner доказал высокую точность и эффективность. Продукт поставляется в виде отдельного приложения, которое нужно загрузить и установить в системе Windows. Перед стартом сканирования Panda загружает последние сигнатуры в автоматическом режиме. Пользователь может запустить быструю проверку или выборочную проверку.
Когда сканирование завершено, Panda Cloud Cleaner выводит отчет об обнаруженных вредоносных программах и ПНП, неизвестных файлах и подозрительных политиках и объекты, которые могут быть удалены.
При выборе отдельного раздела можно посмотреть детальную информацию об обнаруженных проблемах.
Быстрое сканирование выполнялось 8 минут и обнаружило 13 зараженных файлов, в то время как полная проверка заняла 32 минуты и смогла обнаружить 17 вредоносных образцов. Высокий уровень обнаружения делает Panda Cloud Cleaner фаворитом тестирования.
Trend Micro HouseCall
Trend Micro HouseCall - автономное приложение, которое нужно скачать и запустить на компьютере. При запуске продукт автоматически скачивает новейшие сигнатуры. интерфейс программы предельно прост. С помощью кнопки настроек пользователь может выбирать быстрое, полное или выборочное сканирования.
Быстрое сканирование завершилось за 7 минут и обнаружило 3 инфицированных файла. Полное сканирование системы выполнялось 462 минуты (и это не ошибка!) и позволило распознать 11 файлов. Длительное время сканирования испытывало терпение исследователей.
Для каждого вредоносного объекта отображается имя, точное расположение, тип и уровень опасности. С положительной стороны, Trend Micro HouseCall позволяет удалять вредоносные элементы, что ценят пользователи.
Trend Micro HouseCall является инновационным продуктом, который обладает возможностями, которые отсутствуют у большинства бесплатных сканеров. Низкая скорость сканирования и средний уровень обнаружения не позволяет Trend Micro приблизится к лидерам.
Обзор результатов
Сводные данные о результатах тестирования представлены в таблице:
Лучшие облачные антивирусные сканеры
Если Вы пытаетесь выбрать хороший облачный сканер, то Panda Cloud Cleaner вероятно будет лучшим вариантом. Также рекомендуем ESET Online Scanner и F-Secure Online Scanner, расположившиеся на 2 и 3 месте рейтинга соответственно. Все перечисленные программы являются надежными инструментами безопасности, которые смогли обнаружить большинство угроз. Все три продукта позволяют выполнять очистку системы и не принуждают устанавливать дополнительные программы защиты. Когда Вы столкнулись с заражением, это будет большим плюсом.
Почти все остальные продукты показали низкую эффективность обнаружения зловредов и носят исключительно информационный характер, не позволяя удалять опасные объекты. Они в основном представляют собой маркетинговые инструменты, предназначенные для продажи коммерческих решений.
В наши дни интернет наводнен вредоносными программами. Вы никогда не можете быть уверены, что загруженный вами файл не окажется каким-нибудь вредоносным, притворяющимся безвредным. Фактически многие из вредоносных файлов разработаны, чтобы делать именно это. Эта статья объяснит, как отличить опасный файл от безопасного.
Несмотря на то, что это может показаться грандиозной задачей, я обещаю, что это будет не так уж трудно. Сегодня есть много как очень сложных, так и простых онлайновых служб, которые позволяют проверить файл на безопасность. Если вы полагаете, что файл, вероятно, безопасен, то убедитесь, что вы прочли раздел 1, прежде чем продолжать. Это может сэкономить вам много времени.
Содержание
1. Проверьте, не находится ли файл в белом списке Comodo
Если вы уже считаете, что рассматриваемый файл, вероятнее всего, безопасен, то следование дальнейшим шагам, описанным в этой статье, может не понадобиться. Сначала закачайте файл на Comodo Valkyrie. Это бесплатная услуга, предоставляемая компанией Comodo, которая позволяет пользователям загружать файлы, объемом до 20 МБ, которые будут проанализированы почти сразу же. После закачки файла посмотрите в левый верхний угол. Там есть надпись "SHA1". Скопируйте всю строку букв и чисел, которая следует за ней. Теперь перейдите на страницу Comodo File Intelligence.
Мы воспользуемся этой службой, чтобы выяснить, не был ли файл уже проверен ранее на безопасность и не находится ли он в огромном списке безопасных файлов Комодо. На этом сайте переключите поисковую панель с режима "Search by Filename" на "Search by SHA1". После этого вставьте из буфера обмена SHA1 и нажмите "Search Now". Посмотрите информацию, которая появилась. Если ответ был "The file is safe" ("Файл надёжен"), то сразу смотрите результаты Comodo Valkyrie. Если окончательный результат (Final Result) от Comodo Valkyrie сообщает, что файл безопасен или неизвестен, тогда вы можете доверять этому файлу. Вам не нужно переходить к остальной части шагов. Однако, если Comodo Valkyrie сообщает, что файл вредоносный, тогда вы, возможно, захотите перейти ко второму разделу, чтобы убедиться, что файл действительно безопасен. Он почти наверняка безвреден, но проверка с помощью еще нескольких методов не займет много времени.
2. Проверьте файл с помощью Comodo Valkyrie
Comodo Valkyrie - это бесплатная веб-служба Comodo, которая позволяет пользователям загружать файлы до 20 МБ для быстрого анализа. Эта служба может быть найдена на этой странице. Просто перейдите к сайту и найдите файл, который хотите оценить. Теперь закачайте туда этот файл. Загруженные файлы проверяются с помощью проверок многих типов, включая статический метод обнаружения, поведенческий анализ, независимо от того, обнаружены они антивирусом Comodo или с помощью продвинутой эвристики.
Используя эти проверки, служба может дать прогноз относительно того, является файл нормальным (“Normal”), неизвестным (“Unknown”) или вредоносным (“Malicious”). Оценка “Normal” означает, что файл безопасен. “Malicious” означает, что он опасен. Если служба посчитала, что файл неизвестен (“Unknown”), это значит, что "она не уверена".
2.1 Используйте Валькирию, чтобы узнать наверняка, безопасен ли файл
Кроме того, некоторые файлы, возможно, уже были вручную проанализированы сотрудниками Comodo. Если они были проанализированы сотрудниками, то у них будет статус нормальных, неизвестных или вредоносных. Если там дали оценку "Unknown" или "Malicious", то я советовал бы избавиться от этого файла. Я не стал бы ему доверять.
После передачи файла сотруднику там вручную проанализируют его и дадут вам результат. Возможные варианты оценок уже объяснены выше. Этот анализ обычно занимает меньше 24 часов. Если вы решили получить результаты "анализа вручную", то вы не должны волноваться ни о каких других методах, обсуждавшихся еще в этой статье. Просто отправьте файл и ожидайте результатов. Однако, если вы хотите узнать больше о файле и не хотите ждать результатов ручной работы, то остальная часть этой статьи должна быть очень полезной для вас.
2.2 Интерпретируйте результаты автоматического анализа самостоятельно
Если вы решили не ждать анализа, тогда вы можете также использовать эту службу, чтобы сразу же получить больше информации о файле. После того, как файл проанализирован, наиболее важным моментом, заслуживающим вашего внимания, будут пункты "Auto Result" ("Автоматический результат") и "Final Result" ("Окончательный результат"). Оба результата даны вверху страницы. "Auto Result" даст вам полный итог статического сканирования. "Final Result" комбинирует результаты всех типов сканирования, предоставляя общий прогноз по поводу безопасности файла. Веб-службы более подробно рассмотрены ниже. Если обе из них дают оценку "нормально", тогда файл, вероятнее всего, безопасен. Однако, перед тем, как посмотреть общие результаты, проверьте вкладки "Dynamic Detection" и "Advanced Heuristics", чтобы убедиться, что они закончили анализировать. Это займет больше времени, чем статический метод обнаружения. Однако, чтобы получить еще большее понимание, действительно ли безвреден файл, вам также захочется более тщательно рассмотреть результаты для каждой вкладки.
Обратите внимание, что для некоторых файлов вместо результата будет выведено "No PE File". Это означает, что файл не содержит достаточной информации для Valkyrie, чтобы его можно было запустить. Более подробную информацию можно найти на этой странице. Таким образом, если вы получаете этот результат, я рекомендую вам перейти к следующему разделу и продолжить анализировать файл, используя альтернативные методы, обсуждаемые в этой статье.
После того, как файл проанализирован, вам будут показаны три информационные вкладки. Первая называется “Static Detection” (Статический метод обнаружения). Вкладка показывает оценку 17-ти различных детекторов AI, которые проверяли файл. Отдельные оценки этих детекторов не важны. Comodo использует очень сложный алгоритм, чтобы вынести итоговую оценку на основе работы каждого из этих детекторов. То, что важно, это общий результат, показанный внизу экрана. Будет показана автоматическая оценка под надписью “Static Verdict Combination” (“Суммарная оценка статического сканирования”). Также под надписью “Probability of Static Verdict” (“Вероятность статической оценки”) будет показана степень вероятности.
На вкладке "Dynamic Detection" есть результаты как от Comodo Antivirus (CAV), так и от Comodo Instant Malware Analysis - модуля, также известного как CAMAS. Секция для Comodo Antivirus сообщит вам, если в текущий момент что-то обнаружено антивирусом Comodo, и, если это имеет место, какого типа вредоносное ПО он обнаружил. CAMAS, также известный как CIMA, является поведенческим анализатором. Чтобы узнать больше о том, как понимать результаты, смотрите раздел 4.1 данной статьи. В результатах Валькирии опция "Report URL" соединит вас с результатами CIMA. Это полезно, поскольку вы можете понять, что, во всяком случае, было установлено что-то подозрительное в поведении файлов. Однако знайте, что есть такая ошибка, что, если вы выбираете "Report URL", тогда как в поведении ничего не обнаружено, вы вместо этого переместитесь на страницу "Static Detection".
Еще одна вкладка, которую мы рассмотрим, называется “Advanced Heuristics” (“Продвинутая эвристика”). Здесь при исследовании файла используются более чувствительные алгоритмы. Здесь больше вероятности, что они поймают вредоносное ПО, но также здесь более вероятна неправильная идентификация файла в качестве "Неизвестного" (“Unknown”) или "Вредоносного" (“Malicious”). Пожалуйста, имейте это в виду, когда интерпретируете эти результаты.
3. Проверьте файл с помощью VirusTotal
Еще вы можете проверить файл в разных антивирусах. Одна из лучших веб-служб для этого - VirusTotal. Ее можно найти на этой странице. Эта служба просканирует любой файл, который вы закачаете, с помощью более чем 40 различных антивирусных продуктов и покажет результаты отдельно по каждому из них. Вы можете закачать файлы размером до 64 МБ, и весь процесс займет около минуты.
Безусловно самая трудная часть использования VirusTotal - интерпретация результатов. Иногда по результатам бывает трудно сказать, какова вероятность, что файл окажется опасным. В основном тогда, когда значительное количество сканеров показывает предупреждение о его вероятной опасности. Однако, даже если лишь немногие это обнаруживают, это не обязательно означает, что он безопасен. Ниже приведены примеры результатов для двух файлов, которые являются действительно вредоносными.
Использование VirusTotal имеет несколько недостатков. Один из них - то, что вредоносное ПО конечно может оказаться столь новым, что ни один антивирус не распознает его. Я лично видел такое много раз. Поэтому, даже если VirusTotal показывает, что ни один из антивирусов не обнаруживает опасности, это не означает, что файл не опасен. Связанная с этим проблема состоит в том, что вредоносное ПО создается так быстро, что антивирусные компании вынуждены использовать эвристическое обнаружение и универсальные сигнатуры в стремлении не отставать от него. Проблема с этим подходом состоит в том, что при этих методах обнаружения безвредный файл может быть неверно идентифицирован как вредоносный. Это известно как ложное срабатывание (false positive). Эти типы ошибок действительно происходят и с возрастающей частотой.
Таким образом, если только некоторые антивирусы определяют угрозу с помощью эвристики, а другие не определяют, то это может быть ложным срабатыванием. Однако, это не гарантирует, что так и есть. Именно поэтому вы должны всегда проверять файл, используя все три метода, рассмотренные в этой статье. Ниже приведены результаты в качестве примера полноценных файлов, которые VirusTotal неверно идентифицирует как опасные.
Я хочу внести ясность, что, даже если только один антивирус определил файл как вредоносный, или даже ни один из них не определил, то файл все же может быть опасным. VirusTotal нельзя использовать с тем, чтобы гарантировать, что файл безопасен. Однако, если очень большое количество антивирусов определяют, что файл вредоносный, то вероятно так и есть. В этом и есть истинная сила VirusTotal.
4. Проверьте файл на вредоносное поведение
В дополнение к вышеупомянутым методам вы можете также пожелать проверить файл на вредоносное поведение. Есть много замечательных веб-служб, которые помогут сделать это, но я выбрал две из них, которые я особенно рекомендую. Помните, что хорошие файлы в них могут быть отмечены как подозрительные и что вредоносное ПО также может оказаться нераспознанным. Фактически, некоторые вредоносные программы даже могут заявить, что они запущены в виртуальной среде, и, таким образом, откажутся работать. По этой причине, опять же, для проверки файла лучше всего использовать все три метода, рассмотренные в этой статье.
4.1 Используйте Comodo Instant Malware Analysis
Веб-служба Comodo Instant Malware Analysis (CIMA) (Быстрая проверка на вредоносность от Comodo) может быть найдена на этой странице. Думаю, отчет проверки этой службы будет понятен всем пользователям. Вы можете загружать туда файлы любого размера, и, после того, как загрузка будет завершена, сразу начнется проверка файла. Продолжительность в основном зависит от размера файла и сложности его поведения, однако в большинстве случаев это довольно быстро. Я настоятельно рекомендую использовать эту службу, поскольку она очень эффективна при распознавании подозрительного поведения. Как только анализ завершен, результаты будут даны в конце отчета.
Оценкой может быть “Suspicious” ("Подозрительный"), “Suspicious+” или “Suspicious++”. Если выдана любая из них, это означает, что возможно вредоносное поведение было обнаружено. Также непосредственно под оценкой будут указаны причины, по которым файл был помечен как таковой. Оценка “Suspicious++” означает наиболее подозрительное поведение.
Если вместо этого в результатах автоматического анализа (“Auto Analysis Verdict”) вы получаете оценку “Undetected” (Не обнаружено), значит подозрительных действий замечено не было. Это не гарантирует, что нет опасности, но говорит о большей вероятности этого. Таким образом, если на вышеупомянутых шагах не было обнаружено вредоносного поведения, и того же ни разу не сделал CIMA, то вы можете быть относительно уверены, что файл безопасен.
4.2 Используйте Anubis
Наиболее опытные пользователи могут также пожелать использовать Anubis. Эту веб-службу можно найти вот на этой странице. Это еще одна очень эффективная служба проверки на поведенческом уровне. Однако, загрузка файлов иногда занимает очень много времени, а результаты труднее интерпретировать. Тем не менее эта служба предоставляет много информации о поведении файла и послужит прекрасным вторым голосом в добавление к CIMA. Если вы продвинутый пользователь, я вам очень рекомендую проверять поведение файлов еще и в Anubis.
5. Сообщайте об опасных файлах куда следует
Если ваш анализ показал, что определенный файл опасен, я рекомендую, чтобы вы в качестве вероятно опасного отправили его в как можно большее количество лабораторий, занятых в области антивирусного ПО. Самый простой способ сделать это - последовать совету, который я даю в своей статье "Как сообщить о вредоносном программном обеспечении или о ложных срабатываниях в многочисленные антивирусные лаборатории" (How to Report Malware or False Positives to Multiple Antivirus Vendors). Выполняя шаги, описанные в ней, вы можете помочь противодействовать распространению этого вредоносного ПО.
Читайте о симптомах, которые сигнализируют о наличии на компьютере вируса . Как на вирусы реагирует компьютер, антивирусная программа или браузер. Вредоносные программы или вирусы могут повергнуть ваш компьютер в хаос. Они могут деактивировать антивирусную программу и сделать компьютер уязвимым для другого вредоносного программного обеспечения, мешать нормальному функционированию компьютера или повредить файлы операционной системы.
Вирусы вымогатели шифруют данные пользователей таким образом, что их практически невозможно расшифровать или восстановить. Вирусы могут получить доступ к любым данным, будь то личные файлы, банковские данные или пароли пользователя, а также создавать двойники аккаунтов.
Что же делать чтобы защитить себя и компьютер от вирусов? Начать необходимо с установки антивирусной программы. Также не помешает освоить навыки безопасного пользования ПК. Частой причиной заражения компьютера вирусами или другим вредоносным ПО есть отсутствие компьютерной грамотности пользователя, которую также стоит подтянуть.
Новые виды вирусов и вредоносных программ появляются всё время, поэтому они не всегда могут определяются каждой антивирусной программой, по крайней мере до того момента пока не будут внесены в базу данных сигнатур вирусов. Такие свежие вирусы могут попасть в систему и пройти все программные средства защиты.
Если вы случайно скачали подозрительный файл, который содержит вирус или кликнули на вложении в email, ваша система может быть инфицирована такими вирусами как: Trojan , Rootkit , Worm , Backdoor , Junkware или Malware . Поэтому, прежде чем кликать на неизвестном файле или ссылке лучше подумать дважды и следить за тем, чтобы установленная на вашем компьютере антивирусная программа была с актуальными антивирусными сигнатурами.
Итак, как же определить, что ваш компьютер заражен вирусами? Вот несколько явных признаков, которые сигнализируют о том, что на компьютере присутствуют вирусы или другое вредоносное ПО:
А теперь детально:
- Ваша антивирусная программа деактивирована (отключена).
Некоторые типы вредоносных программ могут деактивировать или отключить антивирусную программу или антивирусное решение для защиты интернет пользователей (internet security suite). В таком случае вредоносные программы могут свободно проникнуть на компьютер, украсть или повредить данные. Существует много типов вредоносного ПО, некоторые нацелены на повреждение или уничтожение данных, другие шифруют файлы и вымогают оплату за возобновление к ним доступа. Попытки переустановить или установить заново антивирусное ПО, такими вирусами могут также блокироваться. Установившись на компьютер, вирусы могут вносить изменения в реестр, которые будут блокировать установку антивирусных программ.
Читайте также: