威胁侦测方法

Doctor Web公司所有反病毒产品都同时使用几种不同的威胁侦测方法，这样能够对可疑对象进行最充分的检查。

特征码分析

首先使用的是特征码分析。这一分析法是将可疑文件代码与已知威胁的特征码进行对比（特征码是识别威胁必需的一定长度的连续字节）。对比时使用特征码的校验和，从而可以大大降低病毒库记录的数量，但又可以确保对应的绝对性，也就可以保证对感染文件进行侦测和清除的准确性。Dr.Web病毒库的特点是使用一个记录可以侦测到整个类型或整个家族的威胁。

Origins Tracing

这是Dr.Web独特的技术，这一技术利用病毒库记录的已知感染机制或恶意行为来识别新病毒以及病毒变种。在进行特征码分析后使用这一技术进行侦测，保证Dr.Web反病毒软件用户免受勒索木马Trojan.Encoder.18（也被称作“gpcode”）等类似病毒的威胁。此外，使用Origins Tracing技术可以大大降低启发式分析仪的误报。使用Origins Tracing侦测到的威胁名称后会添加后缀.Origin。

操作仿真

在无法使用校验和进行特征码搜索或无法创建可靠特征码，使用程序代码操作仿真来侦测多态病毒和加密病毒。此方法是利用仿真程序——处理器程序模型和程序执行环境来模拟执行被分析代码。仿真程序利用内存受保护区域（仿真器）。此时代码不会传送到中央处理器执行。如果仿真程序处理的代码是被感染的代码，仿真后这一代码会恢复为恶意代码源代码，以便对其进行特征码分析。

启发式分析

启发式分析仪运行机理是启发式（其统计学意义已利用经验被确定的、恶意代码和安全可执行代码典型特征的推断）。每个特征有加权（确定该特征重要性和可靠性的数值）。如果特征表明代码具有恶意行为，加权为正，如果特征不是计算机威胁，加权则为负。依据一个文件的总加权，启发式分析仪计算出文件可能被未知病毒感染的概率。如果概率超出指定值，则将被分析对象判定为恶意对象。

启发式分析仪还使用FLY-CODE技术。这是一种全能文件解压算法。这一功能可对使用压缩程序（打包器）（不仅是Dr.Web产品已知程序，还包括之前未研究过的新程序）压缩的对象中存在的恶意对象进行启发式分析。检查打包对象时还可以使用结构熵分析技术，根据代码位置特点侦测病毒。使用这一技术可利用一个病毒库记录侦测到使用同一个多态打包器打包的多个不同威胁。

同所有在不确定条件下进行假设分析的系统一样，启发式分析仪可能会出现错误：放过未知威胁或者是产生误报。因此被启发式分析仪侦测到的“恶意”对象的标记为“可疑”对象。

行为分析

行为分析方法是对系统的所有进程的所执行的操作次序进行分析。一道发现恶意软件所具备的行为特征就会阻止应用执行操作。

Dr.Web Process Heuristic

行为分析技术Dr.Web Process Heuristic用于抵御最新最危险的恶意软件，这样的恶意软件能够躲开传统的特征码分析和启发式分析机制。

Dr.Web Process Heuristic分析每一启动进程根据对恶意软件行为的最新了解判断进程是否存在危险，是否需要采取解除威胁的操作。

这一数据保护技术能够最大限度地减少未知病毒可能造成的损失，同时对受保护系统的资源占用极小。

Dr.Web Process Heuristic监控任何更改系统的企图：

•识别恶意更改用户文件的恶意软件进程（如加密木马的加密企图），包括位于网络共享文件夹的文件；

•阻止恶意软件植入到其他应用；

•阻止恶意软件更改系统重要区域；

•侦测并阻止恶意脚本和进程以及可疑的或不可靠的脚本和进程；

•阻止恶意软件更改磁盘启动扇区，使其（如Bootkit）无法在电脑启动；

•阻止对注册表的修改，防止停用Windows安全模式；

•禁止恶意软件更改软件启动权限；

•禁止暗中加载新的或未知的驱动程序；

•阻止恶意软件以及某些应用自启动，如专门破坏反病毒软件运行的软件，禁止其在注册表注册后完成自启动；

•禁止更改负责虚拟设备驱动程序的注册表分支，防止木马冒充虚拟设备安装到电脑；

•阻止恶意软件破坏系统服务的正常运行。

Dr.Web Process Dumper

Dr.Web Process Dumper是打包威胁综合分析仪，大大提升对所谓“新威胁”的侦测水平。这些所谓“新威胁”实际上是隐藏在新打包器中的已知威胁。利用这一分析技术可以避免向病毒库添加不必要的新记录，从而保证Dr.Web病毒库的小巧，而这样就不需要提升系统要求，同时保持一贯的小流量更新，而侦测和清除则始终处于高水准。

Dr.Web ShellGuard

Dr.Web ShellGuard阻止漏洞进攻，也就是企图利用漏洞控制应用和整个操作系统的恶意对象。

Dr.Web ShellGuard保护可安装到Windows操作系统的以下常用应用：

•互联网浏览器（Internet Explorer、Mozilla Firefox、Yandex浏览器、Google Chrome、Vivaldi Browser等等）；

•MS Office应用，包括MS Office 2016；

•系统应用程序；

•使用java、flash和pdf技术的应用程序；

•媒体播放器。

机器学习方法

用于搜索未添加到病毒库的恶意对象，并解除其威胁。这一技术的优势在于仅依靠特征进行侦测，而不是在恶意代码执行过程中将其识别。

威胁侦测依据对恶意对象的特征分类。利用机器学习技术对恶意对象进行分类并肩脚本语言代码片段写入数据库。之后在特征对比的基础上进行分析。机器学习技术自动更新特征表并向病毒库自动添加记录。不接通云服务的情况下这一技术也能够正常使用。

机器学习方法识别恶意对象不需要执行其代码，因此能够大大节约操作系统资源，而分类器的动态学习不需要不断更新病毒库。