złośliwe zachowanie heurystyczne

Złośliwe zachowanie heurystyczne to wzorzec aktywności rozpoznawany przez systemy bezpieczeństwa jako podejrzany.

Jak system bezpieczeństwa rozpoznaje złośliwe zachowanie heurystyczne

Złośliwe zachowanie heurystyczne oznacza wzorzec aktywności, który system ochrony uznaje za podejrzany na podstawie obserwowanych cech programu lub procesu. Nie musi to być plik wcześniej opisany w bazie sygnatur. Mechanizm heurystyczny analizuje między innymi sposób uruchamiania aplikacji, modyfikowanie plików wykonywalnych, tworzenie procesów potomnych, zmianę ustawień systemowych oraz próby uzyskania uprawnień wymaganych do wykonania określonych operacji.

Heurystyka może działać statycznie albo dynamicznie. Analiza statyczna odbywa się bez pełnego uruchamiania pliku i obejmuje na przykład sprawdzenie jego struktury, poleceń zapisanych w kodzie, używanych bibliotek oraz nietypowych elementów pliku wykonywalnego. Analiza dynamiczna obserwuje program podczas działania. System bezpieczeństwa może wtedy wykryć sekwencję czynności typową dla szkodliwego oprogramowania, nawet jeśli pojedyncza operacja sama w sobie jest legalna.

Heurystyka a sygnatura, reputacja i zachowanie procesu

Sygnatura opisuje rozpoznany wcześniej plik lub charakterystyczny fragment jego kodu. Heurystyka nie ogranicza się do dokładnego porównania z takim wzorcem, dlatego może reagować na nową odmianę programu albo na próbkę zmodyfikowaną przez autora złośliwego oprogramowania. W praktyce współczesna ochrona często łączy kilka metod: sygnatury, analizę zachowania, reputację pliku, ocenę źródła pobrania oraz informacje o tym, czy program jest cyfrowo podpisany.

Za podejrzane mogą zostać uznane między innymi: uruchomienie skryptu przez nietypowy interpreter, próba zapisania pliku w katalogu systemowym, dodanie mechanizmu automatycznego startu, masowa zmiana rozszerzeń dokumentów, wyłączanie składników ochrony, wstrzykiwanie kodu do innego procesu albo nawiązywanie połączeń sieciowych bez związku z deklarowaną funkcją aplikacji. O klasyfikacji zwykle decyduje nie pojedyncze zdarzenie, lecz ich zestaw i kolejność.

Dlaczego pojawia się alarm heurystyczny

Alarm heurystyczny nie jest równoznaczny z potwierdzonym zakażeniem. Legalne programy administracyjne, narzędzia do automatyzacji, instalatory, aktualizatory oraz aplikacje ingerujące w inne procesy mogą wykonywać czynności podobne do tych, które stosuje złośliwe oprogramowanie. Z tego powodu system ochrony może zastosować klasyfikację ostrożnościową, na przykład zablokować uruchomienie, przenieść plik do kwarantanny albo wyświetlić ostrzeżenie wymagające decyzji użytkownika.

Przy ocenie komunikatu warto sprawdzić pełną nazwę wykrycia, ścieżkę pliku, nazwę procesu nadrzędnego, źródło pobrania oraz czas wystąpienia zdarzenia. Znaczenie ma także to, czy plik znajduje się w katalogu programu, w folderze tymczasowym, w profilu użytkownika lub w lokalizacji systemowej. Nie należy automatycznie przywracać elementu z kwarantanny. Najpierw trzeba potwierdzić pochodzenie aplikacji, sprawdzić jej podpis cyfrowy, zaktualizować ochronę i wykonać ponowne skanowanie. W razie podejrzenia fałszywego alarmu próbkę można przekazać producentowi używanego programu bezpieczeństwa do analizy.

Postępowanie po wykryciu podejrzanej aktywności

Jeżeli wykrycie dotyczy nieznanego pliku, samoczynnie uruchamianego procesu albo programu pobranego z niepewnego źródła, bezpiecznym działaniem jest pozostawienie elementu w kwarantannie i odłączenie komputera od sieci do czasu wyjaśnienia zdarzenia. Nie należy kasować logów ochrony, wielokrotnie uruchamiać podejrzanego pliku ani dodawać go do wyjątków tylko po to, aby usunąć komunikat. Po skanowaniu można sprawdzić autostart, listę aktywnych procesów, ostatnio zainstalowane aplikacje i zadania uruchamiane automatycznie.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnostyką problemów związanych z nieprawidłowym działaniem systemu oraz oprogramowania ochronnego. Zakres czynności zależy od objawów i dostępnych informacji: może obejmować analizę komunikatu, sprawdzenie uruchamianych procesów, usunięcie niepożądanego programu, przywrócenie poprawnych ustawień oraz kontrolę działania systemu po zakończeniu prac.