Les technologies de détection sans signatures

Tous les jours, le Laboratoire viral de Doctor Web reçoit jusqu'à 1 million ou plus d'échantillons potentiellement dangereux.

Tous les fichiers reçus par les spécialistes ne sont pas des logiciels malveillants. Mais tous les échantillons doivent être traités. Si l'on ajoutait des connaissances sur chaque nouveau Trojan ou un nouveau virus sous forme de signature, la taille de la base de données virales dépasserait les limites raisonnables, et rassemblerait « seulement » des connaissances sur les virus connus. Or les virus connus ne représentent pas forcément la majorité des menaces !

Il existe toujours un risque d'être contaminé par un virus inconnu.

Les malwares les plus sophistiqués et les plus dangereux, notamment ceux conçus pour gagner de l'argent, sont testés par leurs créateurs sur tous les antivirus du marché avant leur mise en circulation. Donc, il existe un délai entre la sortie du logiciel malveillant, son analyse par le Laboratoire viral et le développement d'un antidote. Avant que des échantillons arrivent au Labo, aucun antivirus utilisant seulement les signatures (par exemple, les antivirus gratuits) n'est en mesure de détecter ces virus.

Il est considéré que l'antivirus doit détecter tous les programmes malveillants au moment de leur pénétration sur la machine.

Seuls 30% des malwares sont détectés avec les signatures par des antivirus contemporains.

Comment Dr.Web peut-il détecter encore 70 % des malwares ?

Les produits Dr.Web utilisent de nombreuses technologies sans signatures qui permettent de détecter des menaces avant qu'elles ne soient ajoutées à la base virale.

Le moteur d'analyse heuristique

Son fonctionnement est basé sur les connaissances des attributs et du comportement supposé des virus – (ce qui est typique d'un code viral, et ce qui ne l'est pas).

Les méthodes heuristiques peuvent détecter de nouvelles versions de logiciels malveillants déjà analysés par les spécialistes et dont le comportement est connu de l'antivirus.

Technologie Origins Tracing TM

Détection de virus qui ne sont pas encore ajoutés à la base de données virales Dr.Web en analysant le fichier exécutable considéré comme un modèle construit d'une manière caractéristique, et en comparant l'échantillon avec une base de données de logiciels malveillants connus.

Module d'émulation de l'exécution

Détection des virus polymorphes et des virus composés chiffrés, lorsqu' il est impossible de comparer des sommes de contrôle ou lorsque l'application directe de la recherche selon les sommes de contrôle est très difficile (à cause de l'incapacité à construire des signatures fiables). Leur détection est effectuée en imitant l'exécution d'un code examiné à l'aide d'un modèle du processeur (et en partie de l'ordinateur et de l'OS).

Technologie Fly-Code

Analyse des objets exécutables compressés.

Décompression de n'importe quel fichier, même compressé par un packer non standard à l'aide de la méthode de virtualisation de l'exécution du fichier.

Détection des virus emballés pas des outils de compression inconnus de Dr.Web.

Analyseur complet de menaces empaquetées

La détection des soi-disant " nouvelles " menaces en réalité déjà connues de la base virale Dr.Web, mais dissimulées sous de nouveaux packers.

Ceci exclut la nécessité d'ajouter de nouvelles entrées à la base virale.

Technologie Script Heuristic

La technologie ScriptHeuristic empêche l'exécution de tous les scripts malveillants dans les navigateurs et documents PDF sans toucher la fonctionnalité des scripts légitimes.

Protège contre la contamination par des virus inconnus via le navigateur web.

Fonctionne indépendamment de l'état de la base virale Dr.Web avec n'importe quel navigateur web.

Technologie d'analyse de l'entropie structurelle

La technologie d'analyse par entropie structurelle détecte les menaces inconnues grâce aux particularités de placement du code malveillant dans les objets cryptés par les packers.