Jak działa antywirus ?
Witam, ciekaw jakim to magicznym sposobem antywirus wykrywa że dany plik jest wirusem/trojenam itp itd. Google mówi mi jedynie o tym, że antywirus ma bazy danych z sygnaturami. No ok, na tej podstawie może wykryć chyba tylko te szkodniki, które producent antywirusa wcześniej odkrył ? Jakim sposobem antywirus wykrywa te wirusy, których jeszcze nie zna? przecież chyba nie zdekompiluje programu i nie przeanalizuje całego kodu?
nazywa sie to systemem heurystycznym, dzięki temu antywir szuka po podobieństwach w sygnaturach, dzięki czemu moze wykrywać wirusy jeszcze nie dodane do bazy.
"dobrzy hakerzy są sławni na cały świat, ale o hakerach geniuszach nikt nic nie wie."
czyli jedynie aplikacje skompresowane i zaszyfrowane ( bo o ile dobrze kojarzę, każdą aplikację można zmniejszyć w rozmiarze i zaszyfrować, istnieją do tego odpowiednie programy ), mają szanse zostać nie wykryte? czy też antywirus i z tym sobie poradzi?
Poison Null Byte %00
Dobry AV bez problemowo sprawdza archiwa i alertuje o znalezionym malware. Wszystko zależy od rozmiaru oraz rodzaju kompresji. Moj sposob na ukrycie malware *.exe to uzycie UPX z opcja -f -9, w 90% po takiej kompresji zaden AV sobie nie poradzi :>
delete (z ang. skasuj) - w programowaniu obiektowym operator niszczący obiekty utworzone za pomocą operatora new (bądź dowolny obiekt, którego adres można pobrać).
a jak to ma się do dll`ek ? czy antywirusy skanując archiwa, czy też uruchamiane pliki, skanują też dll`ki ?
Poison Null Byte %00
Pozwol ze Cie poprawie, system heurystyczny nie polega na szukaniu podobienstw w sygnaturach lecz na analizie zachowania aplikacji - taka namiastka AI. Co do dll, moj AV sprawdza wszystkie pliki - nie wiem jak Twoj :>Napisał kosiarz
delete (z ang. skasuj) - w programowaniu obiektowym operator niszczący obiekty utworzone za pomocą operatora new (bądź dowolny obiekt, którego adres można pobrać).
ja nie mam av xD ale jeżeli twój sprawdza, to większość zapewne także. Dll`ki też można UPX`em potraktować ? bądź innym podobnym programem ?
Poison Null Byte %00
Co do sprawdzania - skanowanie sprawdza wszystkie pliki, pamiec etc. Natomiast monitor AV sprawdza wszystkie pliki ktore sa w jakims ruchu for example - zapisywane, otwierane, zaznaczane, wypakowywane etc.
Z tego co wiem UPX pakuje exe/dll
Edit: no tak jeszcze kilka formatow, mniej popularnych jak BPL czy CPL...
Ostatnio edytowane przez ⌂⌂⌂ : 09-15-2008 - 15:17
delete (z ang. skasuj) - w programowaniu obiektowym operator niszczący obiekty utworzone za pomocą operatora new (bądź dowolny obiekt, którego adres można pobrać).
programuje...]
to ja mam inne pytanie - czy jest możliwość obejrzenia/podglądnięcia tej bazy sygnatur albo poznania jakie warunki wystawia AV aby zakwalifikowac program jako wirusa? Przyda się...
fajnie opisane http://www.eset.pl/nod32/threatsense...reatsense.html
"dobrzy hakerzy są sławni na cały świat, ale o hakerach geniuszach nikt nic nie wie."
Zasady Postowania
Copyright © 2006-2024 - HACK.pl. Wszelkie prawa zastrzeżone.
Odpowiedź z Cytatem
