detekcja wirusów

Detekcja wirusów to proces skanowania wiadomości i załączników w celu wykrycia złośliwego oprogramowania.

Na czym polega detekcja wirusów w wiadomościach

Detekcja wirusów to analiza wiadomości elektronicznych oraz dołączonych do nich plików pod kątem obecności złośliwego kodu. Skaner może sprawdzać zarówno treść załącznika, jak i jego nazwę, rozszerzenie, typ rzeczywiście rozpoznany na podstawie nagłówka pliku oraz strukturę wewnętrzną dokumentu lub archiwum. Samo rozszerzenie, na przykład .pdf albo .docx, nie jest wystarczającą informacją o bezpieczeństwie, ponieważ nazwa pliku może zostać zmieniona, a plik może zawierać aktywną zawartość lub spreparowaną strukturę.

Program antywirusowy zwykle porównuje badane dane z sygnaturami znanych zagrożeń, analizuje podejrzane cechy pliku i może korzystać z oceny zachowania wykonywanego kodu. W przypadku poczty znaczenie ma również rozpakowanie załączników i sprawdzenie elementów znajdujących się wewnątrz archiwum. Jeżeli wiadomość zawiera odsyłacz zamiast pliku, detekcja może obejmować adres strony, domenę, reputację łącza oraz próbę pobrania wskazanego zasobu w kontrolowanym środowisku, zależnie od możliwości używanego systemu.

Sygnatury, heurystyka i analiza zachowania

Sygnatura jest wzorcem pozwalającym rozpoznać kod lub strukturę wcześniej sklasyfikowanego zagrożenia. Taki mechanizm jest skuteczny wtedy, gdy baza ochrony zawiera odpowiednią regułę, dlatego jej aktualność ma bezpośredni wpływ na wynik skanowania. Aktualizacje mogą obejmować nowe sygnatury, reguły heurystyczne oraz informacje o reputacji plików i adresów. Brak aktualizacji nie oznacza automatycznie infekcji, ale zwiększa ryzyko, że świeżo wykryte zagrożenie nie zostanie rozpoznane.

Heurystyka szuka cech typowych dla złośliwych plików, nawet jeśli konkretna próbka nie znajduje się jeszcze w bazie sygnatur. Może analizować między innymi nietypowe instrukcje, makra, skrypty, zaciemnienie kodu, próby uruchamiania procesów lub modyfikowania ustawień systemu. Analiza behawioralna obserwuje działanie programu podczas uruchomienia, często w izolowanym środowisku. Wynik takiego badania może prowadzić do blokady, kwarantanny albo oznaczenia pliku jako podejrzanego. Zdarzają się również pomyłki, dlatego komunikat o wykryciu trzeba interpretować razem z nazwą zagrożenia, lokalizacją pliku i działaniem wykonanym przez ochronę.

Co oznacza wynik skanowania załącznika

Po wykryciu zagrożenia aplikacja może usunąć plik, przenieść go do kwarantanny, zablokować dostęp albo tylko wyświetlić ostrzeżenie. Kwarantanna izoluje podejrzany obiekt od normalnego użycia, dzięki czemu nie powinien zostać przypadkowo uruchomiony, a jednocześnie możliwe jest późniejsze sprawdzenie szczegółów zdarzenia. Nie należy przywracać pliku wyłącznie dlatego, że wiadomość pochodzi od znanego nadawcy. Konto nadawcy mogło zostać przejęte, a adres widoczny w polu wiadomości może zostać sfałszowany.

Bezpieczna ocena wymaga sprawdzenia, czy załącznik był oczekiwany, jaki ma rzeczywisty typ, czy nazwa nie zawiera podwójnego rozszerzenia oraz czy wiadomość nie nakłania do wyłączenia ochrony lub włączenia makr. Dokumenty biurowe mogą zawierać makra, a pliki skrótów, skrypty i programy wykonywalne mogą uruchamiać polecenia w systemie. Archiwum zabezpieczone hasłem ogranicza automatyczne skanowanie zawartości, ponieważ silnik nie może odczytać plików bez znajomości hasła. W takiej sytuacji nie należy otwierać archiwum na głównym komputerze bez dodatkowej weryfikacji źródła i zawartości.

Wynik „brak zagrożeń” oznacza, że użyty skaner nie znalazł złośliwych cech według aktualnie dostępnych reguł i metod analizy. Nie jest to matematyczny dowód bezpieczeństwa pliku. Szczególną ostrożność należy zachować przy nowych próbkach, plikach chronionych hasłem, dokumentach wykorzystujących aktywną zawartość oraz wiadomościach zawierających nietypowe odsyłacze. W razie podejrzenia infekcji warto odłączyć komputer od sieci, nie uruchamiać załącznika i wykonać pełne skanowanie z zaufanego, aktualnego środowiska ochronnego.

Postępowanie po wykryciu złośliwego pliku

Jeżeli detekcja wirusów wskazuje na infekcję, należy zapisać nazwę wykrycia, ścieżkę pliku, czas zdarzenia i informację o zastosowanej reakcji. Następnie trzeba zamknąć podejrzaną wiadomość, nie otwierać ponownie załącznika i wykonać pełne skanowanie wszystkich lokalnych dysków. W przypadku objawów takich jak samoczynne uruchamianie programów, wyłączanie ochrony, nietypowe obciążenie procesora, przekierowania w przeglądarce lub pojawianie się nieznanych komunikatów samo skanowanie pojedynczego załącznika może być niewystarczające.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w ramach diagnostyki może sprawdzić objawy wskazujące na złośliwe oprogramowanie, stan ochrony systemu oraz poprawność działania aplikacji. Przy takim zgłoszeniu istotne jest przekazanie informacji o ostatnio otwieranych plikach, podejrzanych wiadomościach i komunikatach antywirusa. Pozwala to odróżnić pojedynczo zablokowany załącznik od sytuacji, w której złośliwy program został już uruchomiony i zmienił konfigurację systemu.

Po oczyszczeniu komputera należy zaktualizować system operacyjny, przeglądarkę i program ochronny, a także zmienić hasła używane na urządzeniu, jeżeli istniało ryzyko ich przejęcia. Hasła powinny być zmieniane z czystego urządzenia, zwłaszcza gdy infekcja mogła rejestrować naciśnięcia klawiszy. Warto również przejrzeć programy uruchamiane automatycznie, zadania zaplanowane i rozszerzenia przeglądarki, ponieważ utrzymujący się nieznany proces może wskazywać, że usunięto tylko część infekcji.