Методы обнаружения угроз

Все антивирусные продукты, разработанные компанией «Доктор Веб», применяют целый набор методов обнаружения угроз, что позволяет проверять подозрительные объекты максимально тщательно.

Сигнатурный анализ

Этот метод обнаружения применяется в первую очередь. Он основан на поиске в содержимом анализируемого объекта сигнатур уже известных угроз. Сигнатурой называется непрерывная конечная последовательность байт, необходимая и достаточная для однозначной идентификации угрозы. При этом сравнение содержимого исследуемого объекта с сигнатурами производится не напрямую, а по их контрольным суммам, что позволяет значительно снизить размер записей в вирусных базах, сохранив при этом однозначность соответствия и, следовательно, корректность обнаружения угроз и лечения инфицированных объектов. Записи в вирусных базах Dr.Web составлены таким образом, что благодаря одной и той же записи можно обнаруживать целые классы или семейства угроз.

Origins Tracing

Это уникальная технология Dr.Web, которая позволяет определить новые или модифицированные угрозы, использующие уже известные и описанные в вирусных базах механизмы заражения или вредоносное поведение. Она выполняется по окончании сигнатурного анализа и обеспечивает защиту пользователей, использующих антивирусные решения Dr.Web, от таких угроз, как троянская программа-вымогатель Trojan.Encoder.18 (также известная под названием «gpcode»). Кроме того, использование технологии Origins Tracing позволяет значительно снизить количество ложных срабатываний эвристического анализатора. К названиям угроз, обнаруженных при помощи Origins Tracing, добавляется постфикс .Origin.

Эмуляция исполнения

Метод эмуляции исполнения программного кода используется для обнаружения полиморфных и шифрованных вирусов, когда использование поиска по контрольным суммам сигнатур неприменимо или значительно усложнено из-за невозможности построения надежных сигнатур. Метод состоит в имитации исполнения анализируемого кода при помощи эмулятора — программной модели процессора и среды исполнения программ. Эмулятор оперирует с защищенной областью памяти (буфером эмуляции). При этом инструкции не передаются на центральный процессор для реального исполнения. Если код, обрабатываемый эмулятором, инфицирован, то результатом его эмуляции станет восстановление исходного вредоносного кода, доступного для сигнатурного анализа.

Эвристический анализ

Работа эвристического анализатора основывается на наборе эвристик (предположений, статистическая значимость которых подтверждена опытным путем) о характерных признаках вредоносного и, наоборот, безопасного исполняемого кода. Каждый признак кода имеет определенный вес (т. е. число, показывающее важность и достоверность этого признака). Вес может быть как положительным, если признак указывает на наличие вредоносного поведения кода, так и отрицательным, если признак не свойственен компьютерным угрозам. На основании суммарного веса, характеризующего содержимое объекта, эвристический анализатор вычисляет вероятность содержания в нем неизвестного вредоносного объекта. Если эта вероятность превышает некоторое пороговое значение, то выдается заключение о том, что анализируемый объект является вредоносным.

Эвристический анализатор также использует технологию FLY-CODE — универсальный алгоритм распаковки файлов. Этот механизм позволяет строить эвристические предположения о наличии вредоносных объектов в объектах, сжатых программами упаковки (упаковщиками), причем не только известными разработчикам продукта Dr.Web, но и новыми, ранее не исследованными программами. При проверке упакованных объектов также используется технология анализа их структурной энтропии, которая позволяет обнаруживать угрозы по особенностям расположения участков их кода. Эта технология позволяет на основе одной записи вирусной базы произвести обнаружение набора различных угроз, упакованных одинаковым полиморфным упаковщиком.

Поскольку эвристический анализатор является системой проверки гипотез в условиях неопределенности, то он может допускать ошибки как первого (пропуск неизвестных угроз), так и второго рода (признание безопасной программы вредоносной). Поэтому объектам, отмеченным эвристическим анализатором как «вредоносные», присваивается статус «подозрительные».

Поведенческий анализ

Методы поведенческого анализа позволяют анализировать последовательность действий всех процессов в системе. При обнаружении признаков поведения вредоносной программы действия приложения блокируются.

Dr.Web Process Heuristic

Технология поведенческого анализа Dr.Web Process Heuristic защищает от новейших, наиболее опасных вредоносных программ, которые способны избежать обнаружения традиционными сигнатурными и эвристическими механизмами.

Dr.Web Process Heuristic анализирует поведение каждой запущенной программы, сверяясь с постоянно обновляемым облачным сервисом Dr.Web, и на основе актуальных знаний о том, как ведут себя вредоносные программы, делает вывод о ее опасности, после чего принимаются необходимые меры по нейтрализации угрозы. К названиям угроз, обнаруженных при помощи Dr.Web Process Heuristic, добавляется префикс DPH.

Данная технология защиты данных позволяет свести к минимуму потери от действий неизвестной угрозы при минимальном потреблении ресурсов защищаемой системы.

Dr.Web Process Heuristic контролирует любые попытки изменения системы:

•распознает процессы вредоносных программ, изменяющих нежелательным образом пользовательские файлы (например, попытки шифрования со стороны троянских программ-шифровальщиков), в том числе расположенные в каталогах, доступных по сети;

•препятствует попыткам вредоносных программ внедриться в процессы других приложений;

•защищает от модификаций вредоносными программами критических участков системы;

•выявляет и прекращает вредоносные, подозрительные или ненадежные сценарии и процессы;

•блокирует возможность изменения вредоносными программами загрузочных областей диска с целью невозможности запуска (например, буткитов) на компьютере;

•предотвращает отключение безопасного режима Windows, блокируя изменения реестра;

•не позволяет вредоносным программам изменить правила запуска программ;

•пресекает загрузки новых или неизвестных драйверов без ведома пользователя;

•блокирует автозапуск вредоносных программ, а также определенных приложений, например анти-антивирусов, не давая им зарегистрироваться в реестре для последующего запуска;

•блокирует ветки реестра, которые отвечают за драйверы виртуальных устройств, что делает невозможной установку троянских программ под видом нового виртуального устройства;

•не позволяет вредоносному программному обеспечению нарушить нормальную работу системных служб.

Dr.Web Process Dumper

Комплексный анализатор упакованных угроз Dr.Web Process Dumper значительно повышает уровень детектирования якобы «новых угроз» — известных вирусной базе Dr.Web, но скрытых под новыми упаковщиками, а также исключает необходимость добавления в базы все новых и новых записей об угрозах. Сохранение компактности вирусных баз Dr.Web, в свою очередь, не требует постоянного увеличения системных требований и обеспечивает традиционно малый размер обновлений при неизменно высоком качестве детектирования и лечения. К названиям угроз, обнаруженных при помощи Dr.Web Process Dumper, добавляется префикс DPD.

Dr.Web ShellGuard

Технология Dr.Web ShellGuard защищает компьютер от эксплойтов — вредоносных объектов, пытающихся использовать уязвимости с целью получения контроля над атакуемыми приложениями или операционной системой в целом. К названиям угроз, обнаруженных при помощи Dr.Web ShellGuard, добавляется префикс DPH:Trojan.Exploit.

Dr.Web ShellGuard защищает распространенные приложения, устанавливаемые на компьютеры под управлением Windows:

•интернет-браузеры (Internet Explorer, Mozilla Firefox, Google Chrome и др.);

•приложения MS Office;

•системные приложения;

•приложения, использующие java-, flash- и pdf-технологии;

•медиапроигрыватели.

Анализируя потенциально опасные действия, система защиты благодаря технологии Dr.Web ShellGuard опирается не только на прописанные правила, хранящиеся на компьютере, но и на знания облачного сервиса Dr.Web, в котором собираются:

•данные об алгоритмах программ с вредоносными намерениями;

•информация о заведомо чистых файлах;

•информация о скомпрометированных цифровых подписях известных разработчиков программного обеспечения;

•информация о цифровых подписях рекламных или потенциально опасных программ;

•информация о нежелательных для посещения сайтах;

•алгоритмы защиты тех или иных приложений.

Защита от инжектов

Инжект — способ внедрения вредоносного кода в запущенные на устройстве процессы. Dr.Web постоянно отслеживает поведение всех процессов в системе и предотвращает попытки внедрения, если посчитает их вредоносными. К названиям угроз, обнаруженных при помощи Защиты от инжектов, добавляется префикс DPH:Trojan.Inject.

Dr.Web проверяет следующие характеристики приложения, которое запустило процесс:

•является ли приложение новым;

•как оно попало в систему;

•где приложение расположено;

•как оно называется;

•входит ли приложение в список доверенных;

•есть ли у него действительная цифровая подпись от доверенного центра сертификации;

•входит ли оно в черный или белый список приложений, которые находятся на облачном сервисе Dr.Web.

Dr.Web отслеживает состояние запущенного процесса: проверяет, создаются ли удаленные потоки в пространстве процесса, внедряется ли посторонний код в активный процесс.

Антивирус контролирует изменения, которые вносят приложения, запрещает изменять системные и привилегированные процессы. Отдельно Dr.Web следит за тем, чтобы вредоносный код не мог модифицировать память популярных браузеров, например когда вы совершаете покупки в интернете или делаете переводы в онлайн-банках.

Защита от вымогателей

Защита от вымогателей — один из компонентов Превентивной защиты, обеспечивающий защиту файлов пользователей от троянцев-шифровальщиков. Данные вредоносные программы, попадая на компьютер пользователя, блокируют доступ к данным путем шифрования, после чего вымогают деньги за расшифровку. К названиям угроз, обнаруженных при помощи Защиты от вымогателей, добавляется префикс DPH:Trojan.Encoder.

Компонент анализирует поведение подозрительного процесса, обращая внимание в частности на поиск файлов, чтение и попытки их модификации.

Также проверяются следующие характеристики приложения:

•является ли приложение новым;

•как оно попало в систему;

•где приложение расположено;

•как оно называется;

•является ли приложение доверенным;

•есть ли у него действительная цифровая подпись от доверенного центра сертификации;

•входит ли оно в черный или белый список приложений, хранящийся на облачном сервисе Dr.Web.

Также проверяется характер модификации файла. При обнаружении признаков поведения вредоносной программы действия приложения блокируются и предотвращаются попытки модификации файлов.

Метод машинного обучения

Применяется для поиска и нейтрализации вредоносных объектов, которых еще нет в вирусных базах. Преимущество этого метода заключается в распознавании вредоносного кода без исполнения, только на основе его характеристик.

Обнаружение угроз строится на классификации вредоносных объектов согласно определенным признакам. С помощью технологии машинного обучения, основанной на методе опорных векторов, происходит классификация и запись в базу фрагментов кода сценарных языков. Затем проверяемые объекты анализируются на основе соответствия признакам вредоносного кода. Технология машинного обучения автоматизирует обновление списка данных признаков и пополнение вирусных баз. Благодаря подключению к облачному сервису обработка больших объемов данных происходит быстрее, а постоянное обучение системы обеспечивает превентивную защиту от новейших угроз. При этом технология может функционировать и без постоянного обращения к облаку.

Метод машинного обучения существенно экономит ресурсы операционной системы, так как не требует исполнения кода для выявления угроз, а динамическое машинное обучение классификатора может осуществляться и без постоянного обновления вирусных баз, которое используется при сигнатурном анализе.

Облачные технологии обнаружения угроз

Облачные методы обнаружения позволяют проверить любой объект (файл, приложение, расширение для браузера и т. п.) по хеш-сумме. Она представляет собой уникальную последовательность цифр и букв заданной длины. При анализе по хеш-сумме объекты проверяются по существующей базе и затем классифицируются на категории: чистые, подозрительные, вредоносные и т. д. К названиям угроз, обнаруженных при помощи Облачных технологий, добавляется префикс CLOUD.

Подобная технология оптимизирует время проверки файлов и экономит ресурсы устройства. Благодаря тому, что анализируется не сам объект, а его уникальная хеш-сумма, решение выносится практически моментально. При отсутствии подключения к серверам Dr.Web файлы проверяются локально, а облачная проверка возобновляется при восстановлении связи.

Таким образом, облачный сервис компании «Доктор Веб» собирает информацию от многочисленных пользователей и оперативно обновляет данные о ранее неизвестных угрозах, тем самым повышая эффективность защиты устройств.