Program antywirusowy

Program antywirusowy – program komputerowy, którego zadaniem jest wykrywanie, zwalczanie, usuwanie i odizolowanie wirusów komputerowych. Współcześnie najczęściej jest to element pakietu programów chroniących komputer także przed wieloma innymi zagrożeniami.

Charakterystyka

Programy antywirusowe często są wyposażone w dwa niezależnie funkcjonujące moduły, przy czym różni producenci stosują różne nazewnictwo:

• skaner – bada pliki na żądanie lub co jakiś czas; służy do przeszukiwania zawartości urządzeń pamięci masowej (np. dysk twardy, pendrive); mogą także typować pliki jako zawierające podejrzany kod za pomocą metod heurystycznych.
• monitor/skaner rezydentny – bada pliki w sposób samoczynny; służy do kontroli bieżących operacji komputera.

Programy antywirusowe mają możliwość aktualizacji definicji nowo odkrytych wirusów, często na bieżąco, przez pobranie ich z serwerów producenta oprogramowania za pośrednictwem Internetu.

Pakiety antywirusowe zawierają często także własną implementację zapory sieciowej, moduły kontrolujące pocztę elektroniczną i pliki pobierane z sieci, ochronę bankowości, moduł wykrywania i zapobiegania włamaniom, skaner pamięci i MBR. Moduły te mogą wchodzić w skład pakietów typu internet security, jednak można je zainstalować oddzielnie, co według licznych testów laboratoriów antywirusowych, oferują znacznie wyższy poziom ochrony przed szkodliwym oprogramowaniem niż pakiety bezpieczeństwa.

Współczesne programy antywirusowe korzystają z chmury obliczeniowej, co umożliwia przyspieszoną reakcję na nowe zagrożenia jeszcze przed wydaniem zaktualizowanej definicji wirusów. Spora część producentów dzięki chmurze zmniejsza rozmiary swoich plików definicji.

Rodzaje narzędzi/modułów antywirusowych

Skanery

Skanery to najstarszy i najprostszy sposób ochrony antywirusowej. Ich działanie polega na wyszukiwaniu określonej sekwencji bajtów w ciągu danych. W większości wirusów można wyróżnić unikalną sekwencję bajtów, tzw. sygnaturę – charakterystyczny ciąg bajtów, dzięki któremu możliwe jest odnalezienie wirusa w pamięci lub w zarażonej ofierze. Skuteczność skanera antywirusowego zależy od tego, jak bardzo charakterystyczna jest dana sekwencja. Ochrona jest najskuteczniejsza, jeżeli wirus zawiera w sobie jakiś bardzo specyficzny napis lub ciąg bajtów.

Wraz z pojawieniem się wirusów polimorficznych, znaczenie skanerów w pewnym stopniu zmalało, jednak nadal jest to najważniejsza metoda walki z wirusami. Wirusy polimorficzne są trudne do wykrycia, gdyż ich różne próbki nie wyglądają tak samo. Często dwie próbki danego wirusa nie mają ze sobą nic wspólnego. Polimorfizm może być osiągnięty poprzez zakodowanie ciała wirusa. W przypadku tych wirusów również używa się skanera, choć dopiero w późniejszej fazie wykrywania.

Monitory

Monitor to program antywirusowy zainstalowany jako TSR (ang. Terminate and Stay Resident) lub sterownik SYS, który – poprzez monitorowanie odpowiednich funkcji DOS i BIOS – pozwala na wykrywanie wszystkich wykonywanych za pomocą tych funkcji odwołań do dysków. To, czy monitor będzie działał prawidłowo, zależy często od momentu, w którym przejął on kontrolę nad systemem (przed działaniem wirusa, czy już po) oraz od tego, jak głęboko wnika on w system operacyjny. Autorzy programów antywirusowych muszą korzystać z metod podobnych do tych, które stosują twórcy wirusów. Dużą wadą programów monitorujących jest to, że powodują one często fałszywe alarmy. Niekiedy zdarza się, że użytkownik po kolejnym potwierdzeniu jakiejś zwykłej operacji dyskowej staje się mniej uważny i nawet usuwa program antywirusowy z pamięci.

Szczepionki

Są to programy skierowane przeciwko konkretnym wirusom. Na podstawie posiadanego lub wykrytego egzemplarza wirusa można, po odpowiedniej analizie jego kodu, zdefiniować tzw. sygnatury, na podstawie których wykrywa się kolejne kopie wirusa w systemie. Dokładna analiza kodu wirusa pozwala niekiedy odnaleźć w nim oryginalne wartości pewnych parametrów, które mogą posłużyć do wyleczenia plików. Większość z istniejących szczepionek to rozbudowane programy, które potrafią wykryć i usunąć kilka tysięcy określonych wirusów. Tylko w przypadkach nowych wirusów szczepionki nie są efektywne.

Programy autoweryfikujące

Programy te pozwalają sprawdzić, czy dany program nie został w jakiś sposób zmodyfikowany przez wirusa. Weryfikację tę umożliwia dodanie do wskazanego pliku określonego krótkiego programu. Dodawany kod dopisuje się do pliku, wykorzystując te same mechanizmy co wirusy, i zapewnia on mechanizm autoweryfikacji, czyli samoczynne sprawdzanie danego programu pod kątem modyfikacji.

Ich działanie polega na obliczaniu sum kontrolnych żądanego pliku lub plików. Wyznaczone sumy kontrolne są przechowywane w osobnych plikach, tworzonych po pierwszym uruchomieniu programu. Jeżeli pliki te istniały już wcześniej, program antywirusowy wykorzystuje dane w nich zawarte, aby porównać bieżąco wyliczoną sumę, z sumą poprzednio zapisaną w pliku.

Programy te najczęściej nie są zdolne do zwalczania wirusów wykorzystujących technikę ukrywania swojego kodu. Wadą metody autoweryfikacji jest także to, że pliki przechowujące obliczone sumy kontrolne nie są chronione, a dzięki znajomości wielu algorytmów stosowanych przez programy antywirusowe, niektóre wirusy potrafią zainfekować określony plik i obliczyć dla niego nową sumę kontrolną.

Kwarantanna

Wykonywalne pliki dokonujące podejrzane czynności trafiają do kwarantanny, gdzie zostają odizolowane od systemu plików – umożliwia to ich naprawę (usunięcie szkodliwego kodu) lub bezpieczne usunięcie całości, a wirus nie ma już możliwości powielania się.

Skanery antywirusowe online

Skanery antywirusowe online to moduł programu antywirusowego, za pomocą którego komputer sprawdza określony przez użytkownika plik lub obszar na dysku twardym, dyskietce czy płycie. Po zakończeniu pracy skaner informuje o liczbie znalezionych wirusów i o tym, ile z nich udało mu się skutecznie usunąć. Do zastosowania skanera wymagana jest przeglądarka internetowa. Istnieją również strony, na których użytkownik przesyła próbkę pliku, która następnie jest skanowana przez różne programy antywirusowe. Przykładem takiego serwisu jest skaner VirusTotal.