Como posso verificar se um programa pode potencialmente ser um vírus?

Question

Estou executando o Windows XP em uma VM. Eu quero baixar alguns aplicativos e instalar um por um e verificar se eles podem potencialmente ser um vírus. Eu suponho vírus precisaria adicionar algo para a pasta de inicialização ou o aplicativo na seção de inicialização no registro ou adicionar um serviço. O que mais poderia fazer para se tornar ativo?

De qualquer forma, como posso verificar se um programa pode ser um vírus? Eu uso o hijack isso para obter uma lista de processos e eu simplesmente compará-lo de antes de instalar para depois e ver se há algo diferente. Isso é bom o suficiente? Meu sistema operacional principal é o Windows 7, mas eu não tenho isso em uma VM e não vejo um motivo para testar isso.

    

Answer 1

Não é fácil lidar com arquivos suspeitos, a primeira coisa a ser aconselhada é usar uma fonte alternativa segura.

No entanto, se você quiser testar o arquivo em uma VM, veja algumas boas ferramentas:

All-In-One System Explorer :

• Inspecionar sistema: processo, inicialização, serviços, ...
  • ou Sysinternals Autoruns , ProcessExplorer , Monitor de processo
• Verificar arquivos com o Virus Total, o Virus Jotti e seu próprio banco de dados
  • ou Upload de vírus total
• Criar instantâneos para comparar antes / depois das alterações de disco e registro
  • ou SpyMe Tools , WhatChanged

Outras ferramentas úteis:

• Antivírus: de acordo com os últimos testes av-comparatives pró-ativos (heurísticos), Microsoft Security Essentials (freeware) e Kaspersky (payware ) são as melhores escolhas (a Avira também tem uma alta taxa de detecção, mas também tem uma alta taxa de alarme falso)
• HIPS (sistema de prevenção de intrusões baseado em host): ThreatFire (ou WinPatrol , MJ Registry Watcher )
• Firewall: Comodo (ou Armadura On-line )
• Inspetores de conexões de rede: CurrPorts (ou TCPView )
• Scanner de rootkit: Gmer (ou RootkitRevealer menos poderoso, mas mais fácil de usar)
• Análise de comportamento on-line: Anubis (ou CWSandlox , ThreatExpert , Norman Sandbox )
• Verificações de arquivo (o google é o mais comum: MD5, SHA-1): HashCalc
• Svchost analyzer

Mas finalmente , a única maneira de ter certeza é desmontar o software e entender o código ASM, uma tarefa muito exigente. Então volte ao primeiro conselho ...

    

Answer 2

Monitorar processos sozinho não é suficiente. Programas maliciosos podem se anexar a processos em execução para que você não note a diferença.

Talvez instale um antivírus na VM? A Avira tem uma versão gratuita que deve estar à altura da tarefa. Se você não quiser instalar nada, talvez um scanner on-line seja mais adequado.

    

Answer 3

A detecção de post não é realmente útil; um vírus pode mexer com o seu sistema imediatamente e você não quer que ele chegue a esse ponto de ter um problema desenfreado (excesso de duplicação de processos, remoção de ícones em arquivos .exe, erros repetidos do sistema sem razão aparente, conexão de internet ocupada ....)

A melhor segurança é a prevenção: evite fontes não confiáveis como peer-2-peer público, hosts de download gratuito (rapidshare, etc.), links diretos de blog e anexos de e-mail. Embora alguns sites de busca de software sejam legítimos, alguns definitivamente não são - se você encontrar algo interessante, procure o site do autor e faça o download de lá!

Experimente um software sandbox para executar o aplicativo sem a capacidade de fazer alterações indesejadas. Uma VM de teste sem acesso de gravação às suas unidades principais continua sendo uma maneira confiável de testar algo sem ter que mexer com direitos - você pode realmente deixá-lo em estado selvagem.

Por fim, uma boa varredura de vírus / spyware nunca é demais ...

    

Answer 4

How do i check if a program can potentially be a virus?

Se você não tiver nenhum software de proteção residente instalado, há outros métodos para verificar arquivos, por exemplo, com o Scanner de linha de comando do A-squared, que é gratuito (para uso pessoal) ) e portátil.

Além disso, muitas fontes de download fornecem informações de checksum ou soma de hash para que a integridade de um arquivo possa ser verificada.