El software antivirus (abreviado como software AV ), también conocido como antimalware , es un programa informático que se utiliza para prevenir, detectar y eliminar malware .
El software antivirus se desarrolló originalmente para detectar y eliminar virus informáticos , de ahí su nombre. Sin embargo, con la proliferación de otros programas maliciosos , el software antivirus comenzó a proteger contra otras amenazas informáticas. Algunos productos también incluyen protección contra URL maliciosas , spam y phishing . [1]
El primer virus informático conocido apareció en 1971 y se denominó " virus Creeper ". [2] Este virus informático infectó los ordenadores centrales PDP-10 de Digital Equipment Corporation ( DEC ) que ejecutaban el sistema operativo TENEX . [3] [4]
El virus Creeper fue finalmente eliminado por un programa creado por Ray Tomlinson y conocido como " The Reaper ". [5] Algunas personas consideran que "The Reaper" fue el primer software antivirus jamás escrito; puede que así sea, pero es importante señalar que Reaper era en realidad un virus diseñado específicamente para eliminar el virus Creeper. [5] [6]
Al virus Creeper le siguieron varios otros virus. El primero conocido que apareció "en estado salvaje" fue " Elk Cloner ", en 1981, que infectó a los ordenadores Apple II . [7] [8] [9]
En 1983, Fred Cohen acuñó el término "virus informático" en uno de los primeros artículos académicos publicados sobre virus informáticos . [10] Cohen utilizó el término "virus informático" para describir programas que: "afectan a otros programas informáticos modificándolos de tal manera que incluyen una copia (posiblemente evolucionada) de sí mismos". [11] (nótese que el investigador de seguridad húngaro Péter Szőr ha dado una definición más reciente de virus informático : "un código que replica recursivamente una copia posiblemente evolucionada de sí mismo" ). [12] [13]
El primer virus informático "en libertad" compatible con IBM PC , y una de las primeras infecciones realmente generalizadas, fue " Brain " en 1986. Desde entonces, el número de virus ha crecido exponencialmente. [14] [15] La mayoría de los virus informáticos escritos a principios y mediados de la década de 1980 se limitaban a la autorreproducción y no tenían una rutina específica de daños incorporada en el código. Eso cambió cuando cada vez más programadores se familiarizaron con la programación de virus informáticos y crearon virus que manipulaban o incluso destruían datos en los ordenadores infectados. [16]
Antes de que la conectividad a Internet se generalizara, los virus informáticos se propagaban normalmente a través de disquetes infectados . Se empezó a utilizar software antivirus, pero se actualizaba con relativa poca frecuencia. Durante esa época, los detectores de virus tenían que comprobar básicamente los archivos ejecutables y los sectores de arranque de los disquetes y los discos duros. Sin embargo, a medida que el uso de Internet se hizo común, los virus comenzaron a propagarse en línea. [17]
Existen diversas reivindicaciones sobre quién fue el creador del primer producto antivirus. Es posible que la primera eliminación documentada públicamente de un virus informático "en circulación" (el "virus de Viena") haya sido realizada por Bernd Fix en 1987. [18] [19]
En 1987, Andreas Lüning y Kai Figge, quienes fundaron G Data Software en 1985, lanzaron su primer producto antivirus para la plataforma Atari ST . [20] En 1987, también se lanzó Ultimate Virus Killer (UVK) . [21] Este fue el antivirus estándar de facto de la industria para Atari ST y Atari Falcon , cuya última versión (versión 9.0) se lanzó en abril de 2004. [ cita requerida ] En 1987, en Estados Unidos, John McAfee fundó la compañía McAfee y, a fines de ese año, lanzó la primera versión de VirusScan . [22] También en 1987 (en Checoslovaquia ), Peter Paško, Rudolf Hrubý y Miroslav Trnka crearon la primera versión del antivirus NOD . [23] [24]
En 1987, Fred Cohen escribió que no existe ningún algoritmo que pueda detectar perfectamente todos los virus informáticos posibles . [25]
Finalmente, a finales de 1987, se lanzaron las dos primeras utilidades antivirus heurísticas : Flushot Plus de Ross Greenberg [26] [27] [28] y Anti4us de Erwin Lanting. [29] En su libro de O'Reilly , Malicious Mobile Code: Virus Protection for Windows , Roger Grimes describió Flushot Plus como "el primer programa holístico para combatir el código móvil malicioso (MMC)". [30]
Sin embargo, el tipo de heurística que utilizaban los primeros motores antivirus era totalmente diferente de los que se utilizan hoy en día. El primer producto con un motor heurístico parecido a los modernos fue F-PROT en 1991. [31] Los primeros motores heurísticos se basaban en dividir el binario en diferentes secciones: sección de datos, sección de código (en un binario legítimo, normalmente empieza siempre desde la misma ubicación). De hecho, los virus iniciales reorganizaban el diseño de las secciones o anulaban la parte inicial de una sección para saltar al final del archivo donde se encontraba el código malicioso, y solo volvían para reanudar la ejecución del código original. Se trataba de un patrón muy específico, que en ese momento no utilizaba ningún software legítimo, y que representaba una heurística elegante para atrapar código sospechoso. Más tarde se añadieron otros tipos de heurísticas más avanzadas, como nombres de sección sospechosos, tamaño de encabezado incorrecto, expresiones regulares y coincidencia parcial de patrones en memoria.
En 1988, el crecimiento de las empresas antivirus continuó. En Alemania, Tjark Auerbach fundó Avira ( H+BEDV en ese momento) y lanzó la primera versión de AntiVir (llamada "Luke Filewalker" en ese momento). En Bulgaria , Vesselin Bontchev lanzó su primer programa antivirus gratuito (más tarde se unió a FRISK Software ). También Frans Veldman lanzó la primera versión de ThunderByte Antivirus , también conocido como TBAV (vendió su empresa a Norman Safeground en 1998). En Checoslovaquia , Pavel Baudiš y Eduard Kučera fundaron Avast Software (en ese momento ALWIL Software ) y lanzaron su primera versión de avast! antivirus. En junio de 1988, en Corea del Sur , Ahn Cheol-Soo lanzó su primer software antivirus, llamado V1 (fundó AhnLab más tarde en 1995). Finalmente, en otoño de 1988, en el Reino Unido, Alan Solomon fundó S&S International y creó su Dr. Solomon's Anti-Virus Toolkit (aunque lo lanzó comercialmente recién en 1991; en 1998 la compañía de Solomon fue adquirida por McAfee , entonces conocida como Network Associates Inc.). En noviembre de 1988, un profesor de la Universidad Panamericana de la Ciudad de México llamado Alejandro E. Carriles registró los derechos de autor del primer software antivirus en México bajo el nombre de "Byte Matabichos" (Byte Bugkiller) para ayudar a resolver la infestación desenfrenada de virus entre los estudiantes. [32]
También en 1988 se creó una lista de correo llamada VIRUS-L [33] en la red BITNET / EARN donde se discutían nuevos virus y las posibilidades de detectarlos y eliminarlos. Algunos miembros de esta lista de correo fueron: Alan Solomon, Eugene Kaspersky ( Kaspersky Lab ), Friðrik Skúlason ( FRISK Software ), John McAfee ( McAfee ), Luis Corrons ( Panda Security ), Mikko Hyppönen ( F-Secure ), Péter Szőr , Tjark Auerbach ( Avira ) y Vesselin Bontchev ( FRISK Software ). [33]
En 1989, en Islandia , Friðrik Skúlason creó la primera versión del antivirus F-PROT (fundó FRISK Software recién en 1993). Mientras tanto, en Estados Unidos, Symantec (fundada por Gary Hendrix en 1982) lanzó su primer antivirus Symantec para Macintosh (SAM). [34] [35] SAM 2.0, lanzado en marzo de 1990, incorporó tecnología que permitía a los usuarios actualizar fácilmente SAM para interceptar y eliminar nuevos virus, incluidos muchos que no existían en el momento del lanzamiento del programa. [36]
A finales de los años 80, en el Reino Unido, Jan Hruska y Peter Lammer fundaron la empresa de seguridad Sophos y comenzaron a producir sus primeros productos antivirus y de cifrado. En la misma época, en Hungría, se fundó VirusBuster (que posteriormente fue incorporada por Sophos [37] ).
En 1990, en España, Mikel Urizarbarrena fundó Panda Security ( en aquel momento Panda Software ). [38] En Hungría, el investigador de seguridad Péter Szőr lanzó la primera versión del antivirus Pasteur . En Italia, Gianfranco Tonello creó la primera versión del antivirus VirIT eXplorer y un año después fundó TG Soft. [39]
En 1990 se fundó la Computer Antivirus Research Organization ( CARO ). En 1991, CARO publicó el "Virus Naming Scheme" , escrito originalmente por Friðrik Skúlason y Vesselin Bontchev. [40] Aunque este esquema de nombres ya no está actualizado, sigue siendo el único estándar existente que la mayoría de las empresas e investigadores de seguridad informática intentaron adoptar. Los miembros de CARO incluyen a: Alan Solomon, Costin Raiu, Dmitry Gryaznov, Eugene Kaspersky , Friðrik Skúlason , Igor Muttik , Mikko Hyppönen , Morton Swimmer, Nick FitzGerald, Padgett Peterson , Peter Ferrie, Righard Zwienenberg y Vesselin Bontchev. [41] [42]
En 1991, en Estados Unidos, Symantec lanzó la primera versión de Norton AntiVirus . En el mismo año, en la República Checa , Jan Gritzbach y Tomáš Hofer fundaron AVG Technologies ( Grisoft en ese momento), aunque lanzaron la primera versión de su Anti-Virus Guard (AVG) recién en 1992. Por otro lado, en Finlandia , F-Secure (fundada en 1988 por Petri Allas y Risto Siilasmaa - con el nombre de Data Fellows) lanzó la primera versión de su producto antivirus. F-Secure afirma ser la primera firma antivirus en establecer una presencia en la World Wide Web. [43]
En 1991, se fundó el Instituto Europeo de Investigación sobre Antivirus Informáticos (EICAR) para promover la investigación antivirus y mejorar el desarrollo de software antivirus. [44] [45]
En 1992, en Rusia, Igor Danilov lanzó la primera versión de SpiderWeb , que más tarde se convirtió en Dr.Web . [46]
En 1994, AV-TEST informó que había 28.613 muestras únicas de malware (según MD5) en su base de datos. [47]
Con el tiempo se fundaron otras empresas. En 1996, en Rumania , se fundó Bitdefender y se lanzó la primera versión de Anti-Virus eXpert (AVX). [48] En 1997, en Rusia, Eugene Kaspersky y Natalya Kaspersky cofundaron la empresa de seguridad Kaspersky Lab . [49]
En 1996 apareció también el primer virus Linux "en estado salvaje" , conocido como " Staog " . [50]
En 1999, AV-TEST informó que había 98.428 muestras únicas de malware (según MD5) en su base de datos. [47]
En 2000, Rainer Link y Howard Fuhs iniciaron el primer motor antivirus de código abierto, llamado OpenAntivirus Project . [51]
En 2001, Tomasz Kojm lanzó la primera versión de ClamAV , el primer motor antivirus de código abierto que se comercializó. En 2007, ClamAV fue comprado por Sourcefire [52], que a su vez fue adquirida por Cisco Systems en 2013. [53]
En 2002, en el Reino Unido, Morten Lund y Theis Søndergaard cofundaron la empresa antivirus BullGuard. [54]
En 2005, AV-TEST informó que había 333.425 muestras únicas de malware (según MD5) en su base de datos. [47]
En 2007, AV-TEST informó de un número de 5.490.960 nuevas muestras de malware únicas (según MD5) solo para ese año. [47] En 2012 y 2013, las empresas antivirus informaron de un rango de nuevas muestras de malware de entre 300.000 y más de 500.000 por día. [55] [56]
Con el paso de los años se ha hecho necesario que el software antivirus utilice varias estrategias diferentes (por ejemplo, protección específica de correo electrónico y red o módulos de bajo nivel) y algoritmos de detección, así como verificar una variedad cada vez mayor de archivos, en lugar de solo ejecutables, por varias razones:
En 2005, F-Secure fue la primera empresa de seguridad que desarrolló una tecnología Anti-Rootkit, llamada BlackLight .
Dado que la mayoría de los usuarios suelen estar conectados a Internet de forma continua, Jon Oberheide propuso por primera vez un diseño de antivirus basado en la nube en 2008. [60]
En febrero de 2008, McAfee Labs agregó a VirusScan la primera función antimalware basada en la nube del sector, bajo el nombre de Artemis. AV-Comparatives la probó en febrero de 2008 [61] y se presentó oficialmente en agosto de 2008 en McAfee VirusScan . [62]
Los antivirus en la nube crearon problemas para las pruebas comparativas de software de seguridad: parte de las definiciones de antivirus estaban fuera del control de los evaluadores (en servidores de empresas antivirus que se actualizaban constantemente), lo que hacía que los resultados no fueran repetibles. Como resultado, la Organización de Estándares de Pruebas Anti-Malware (AMTSO) comenzó a trabajar en un método de prueba de productos en la nube que se adoptó el 7 de mayo de 2009. [63]
En 2011, AVG introdujo un servicio en la nube similar, llamado Tecnología de nube protectora. [64]
Tras la publicación en 2013 del informe APT 1 de Mandiant , la industria ha experimentado un cambio hacia enfoques sin firmas para el problema capaces de detectar y mitigar ataques de día cero . [65] Han aparecido numerosos enfoques para abordar estas nuevas formas de amenazas, incluida la detección del comportamiento, la inteligencia artificial, el aprendizaje automático y la detección de archivos basada en la nube. Según Gartner, se espera que el surgimiento de nuevos participantes, como Carbon Black , Cylance y Crowdstrike, obligue a los operadores tradicionales de protección de puntos finales a pasar a una nueva fase de innovación y adquisiciones. [66]
Un método de Bromium implica la microvirtualización para proteger los escritorios de la ejecución de código malicioso iniciado por el usuario final. Otro enfoque de SentinelOne y Carbon Black se centra en la detección del comportamiento mediante la creación de un contexto completo en torno a cada ruta de ejecución de procesos en tiempo real, [67] [68] mientras que Cylance aprovecha un modelo de inteligencia artificial basado en el aprendizaje automático. [69]
Cada vez más, los medios de comunicación y las empresas de análisis han definido estos enfoques sin firma como antivirus de "próxima generación" [70] y están siendo adoptados rápidamente por el mercado como tecnologías de reemplazo de antivirus certificadas por empresas como Coalfire y DirectDefense. [71] En respuesta, los proveedores de antivirus tradicionales como Trend Micro , [72] Symantec y Sophos [73] han respondido incorporando ofertas de "próxima generación" en sus carteras, mientras que empresas de análisis como Forrester y Gartner han calificado a los antivirus tradicionales basados en firmas de "ineficaces" y "obsoletos". [74]
A partir de Windows 8 , Windows incluye su propia protección antivirus gratuita bajo la marca Windows Defender . A pesar de las malas puntuaciones de detección en sus inicios, AV-Test ahora certifica a Defender como uno de sus mejores productos. [75] [76] Si bien no se sabe públicamente cómo la inclusión de software antivirus en Windows afectó las ventas de antivirus, el tráfico de búsqueda de Google para antivirus ha disminuido significativamente desde 2010. [77] En 2014, Microsoft compró McAfee. [78]
Desde 2016, ha habido una notable consolidación en la industria. Avast compró AVG en 2016 por 1.300 millones de dólares. [79] Avira fue adquirida por el propietario de Norton, Gen Digital (entonces NortonLifeLock) en 2020 por 360 millones de dólares. [80] En 2021, la división Avira de Gen Digital adquirió BullGuard. [81] La marca BullGuard se suspendió en 2022 y sus clientes fueron migrados a Norton. En 2022, Gen Digital adquirió Avast, consolidando efectivamente cuatro importantes marcas de antivirus bajo un solo propietario. [82]
En 1987, Frederick B. Cohen demostró que no puede existir un algoritmo capaz de detectar todos los virus posibles (como el algoritmo que determina si el programa dado se detiene o no ). [25] Sin embargo, utilizando diferentes capas de defensa, se puede lograr una buena tasa de detección.
Existen varios métodos que los motores antivirus pueden utilizar para identificar malware:
El software antivirus tradicional depende en gran medida de firmas para identificar malware. [100]
Básicamente, cuando una muestra de malware llega a manos de una empresa antivirus, es analizada por investigadores de malware o por sistemas de análisis dinámico. Luego, una vez que se determina que es un malware, se extrae una firma adecuada del archivo y se agrega a la base de datos de firmas del software antivirus. [101]
Aunque el enfoque basado en firmas puede contener eficazmente los brotes de malware, los autores de malware han intentado mantenerse un paso por delante de dicho software escribiendo virus " oligomórficos ", " polimórficos " y, más recientemente, " metamórficos ", que cifran partes de sí mismos o se modifican de otro modo como método de disfraz, para no coincidir con las firmas de virus del diccionario. [102]
Muchos virus comienzan como una única infección y, a través de mutaciones o mejoras por parte de otros atacantes, pueden convertirse en docenas de cepas ligeramente diferentes, llamadas variantes. La detección genérica se refiere a la detección y eliminación de múltiples amenazas utilizando una única definición de virus. [103]
Por ejemplo, el troyano Vundo tiene varios miembros en su familia, según la clasificación del proveedor del antivirus. Symantec clasifica a los miembros de la familia Vundo en dos categorías distintas: Trojan.Vundo y Trojan.Vundo.B . [104] [105]
Aunque puede resultar ventajoso identificar un virus específico, puede resultar más rápido detectar una familia de virus a través de una firma genérica o mediante una coincidencia inexacta con una firma existente. Los investigadores de virus encuentran áreas comunes que todos los virus de una familia comparten de forma única y, por lo tanto, pueden crear una única firma genérica. Estas firmas a menudo contienen código no contiguo, utilizando caracteres comodín donde se encuentran las diferencias. Estos comodines permiten al escáner detectar virus incluso si están rellenados con código adicional sin sentido. [106] Una detección que utiliza este método se denomina "detección heurística".
El software antivirus puede intentar buscar rootkits. Un rootkit es un tipo de malware diseñado para obtener control a nivel administrativo sobre un sistema informático sin ser detectado. Los rootkits pueden cambiar el funcionamiento del sistema operativo y, en algunos casos, pueden alterar el programa antivirus y dejarlo ineficaz. Los rootkits también son difíciles de eliminar; en algunos casos, es necesario reinstalar por completo el sistema operativo. [107]
Protección en tiempo real, escaneo en tiempo real, protección en segundo plano, escudo residente, autoprotección y otros sinónimos hacen referencia a la protección automática que brindan la mayoría de los programas antivirus, antispyware y otros programas antimalware. Esto monitorea los sistemas informáticos en busca de actividad sospechosa, como virus informáticos, spyware, adware y otros objetos maliciosos. La protección en tiempo real detecta amenazas en archivos abiertos y escanea aplicaciones en tiempo real a medida que se instalan en el dispositivo. [108] Al insertar un CD, abrir un correo electrónico o navegar por la web, o cuando se abre o ejecuta un archivo que ya está en la computadora. [109]
Algunos contratos de licencia de usuario final de software antivirus comercial incluyen una cláusula que estipula que la suscripción se renovará automáticamente y se cargará automáticamente a la tarjeta de crédito del comprador en el momento de la renovación sin aprobación explícita. Por ejemplo, McAfee exige a los usuarios que cancelen la suscripción al menos 60 días antes del vencimiento de la suscripción actual [110], mientras que Bitdefender envía notificaciones para cancelar la suscripción 30 días antes de la renovación. [111] Norton AntiVirus también renueva las suscripciones automáticamente de forma predeterminada. [112]
Algunos programas antivirus aparentes son en realidad malware disfrazado de software legítimo, como WinFixer , MS Antivirus y Mac Defender . [113]
Un "falso positivo" o "falsa alarma" se produce cuando un software antivirus identifica un archivo no malicioso como malware. Cuando esto sucede, puede causar problemas graves. Por ejemplo, si un programa antivirus está configurado para eliminar o poner en cuarentena inmediatamente los archivos infectados, como es habitual en las aplicaciones antivirus de Microsoft Windows , un falso positivo en un archivo esencial puede dejar inutilizable el sistema operativo Windows o algunas aplicaciones. [114] La recuperación de este tipo de daños a la infraestructura de software crítica implica costes de soporte técnico y las empresas pueden verse obligadas a cerrar mientras se toman medidas correctivas. [115] [116]
Ejemplos de falsos positivos graves:
Teniendo en cuenta que Norton/Symantec ha hecho esto para cada una de las últimas tres versiones de Pegasus Mail, sólo podemos condenar este producto por ser demasiado defectuoso para su uso y recomendamos en los términos más enérgicos que nuestros usuarios dejen de usarlo en favor de paquetes antivirus alternativos con menos errores. [118]
La ejecución (de la protección en tiempo real) de varios programas antivirus simultáneamente puede degradar el rendimiento y crear conflictos. [127] Sin embargo, utilizando un concepto llamado multiscanning , varias empresas (incluidas G Data Software [128] y Microsoft [129] ) han creado aplicaciones que pueden ejecutar varios motores simultáneamente.
A veces es necesario desactivar temporalmente la protección antivirus al instalar actualizaciones importantes, como los Service Packs de Windows o actualizar los controladores de la tarjeta gráfica. [130] La protección antivirus activa puede impedir parcial o totalmente la instalación de una actualización importante. El software antivirus puede causar problemas durante la instalación de una actualización del sistema operativo, por ejemplo, al actualizar a una versión más nueva de Windows "in situ", sin borrar la versión anterior de Windows. Microsoft recomienda que se desactive el software antivirus para evitar conflictos con el proceso de instalación de la actualización. [131] [132] [133] El software antivirus activo también puede interferir con un proceso de actualización de firmware . [134]
El software antivirus activo puede afectar la funcionalidad de algunos programas informáticos. Por ejemplo, TrueCrypt , un programa de cifrado de discos, indica en su página de resolución de problemas que los programas antivirus pueden entrar en conflicto con TrueCrypt y provocar que funcione mal o de forma muy lenta. [135] El software antivirus puede perjudicar el rendimiento y la estabilidad de los juegos que se ejecutan en la plataforma Steam . [136]
También existen problemas de soporte en torno a la interoperabilidad de las aplicaciones antivirus con soluciones comunes como los productos de control de acceso a la red y acceso remoto SSL VPN . [137] Estas soluciones tecnológicas suelen tener aplicaciones de evaluación de políticas que requieren la instalación y el funcionamiento de un antivirus actualizado. Si la evaluación de políticas no reconoce la aplicación antivirus, ya sea porque se ha actualizado o porque no forma parte de la biblioteca de evaluación de políticas, el usuario no podrá conectarse.
Estudios realizados en diciembre de 2007 mostraron que la eficacia de los programas antivirus había disminuido en el último año, en particular contra ataques desconocidos o de día cero . La revista informática c't descubrió que las tasas de detección de estas amenazas habían caído del 40 al 50% en 2006 al 20-30% en 2007. En ese momento, la única excepción fue el antivirus NOD32 , que logró una tasa de detección del 68%. [138] Según el sitio web ZeuS tracker, la tasa de detección promedio para todas las variantes del conocido troyano ZeuS es tan solo del 40%. [139]
El problema se ve agravado por el cambio de intenciones de los autores de los virus. Hace algunos años era evidente la presencia de una infección vírica. En aquella época, los virus eran escritos por aficionados y mostraban un comportamiento destructivo o aparecían ventanas emergentes . Los virus modernos suelen estar escritos por profesionales, financiados por organizaciones criminales . [140]
En 2008, Eva Chen , directora ejecutiva de Trend Micro , afirmó que la industria antivirus ha exagerado la eficacia de sus productos y, por lo tanto, ha estado engañando a los clientes durante años. [141]
Las pruebas independientes realizadas a los principales antivirus demuestran de forma consistente que ninguno de ellos ofrece una detección del 100 % de los virus. Los mejores proporcionaron una detección del 99,9 % en situaciones reales simuladas, mientras que los más débiles proporcionaron un 91,1 % en pruebas realizadas en agosto de 2013. Muchos antivirus también producen resultados falsos positivos, ya que identifican archivos benignos como malware. [142]
Aunque los métodos pueden diferir, algunas agencias de pruebas de calidad independientes notables incluyen AV-Comparatives , ICSA Labs , SE Labs, West Coast Labs, Virus Bulletin , AV-TEST y otros miembros de la Anti-Malware Testing Standards Organization . [143] [144]
Los programas antivirus no siempre son eficaces contra los nuevos virus, ni siquiera aquellos que utilizan métodos que no se basan en firmas y que deberían detectarlos. La razón es que los diseñadores de virus prueban sus nuevos virus en las principales aplicaciones antivirus para asegurarse de que no sean detectados antes de liberarlos. [145]
Algunos virus nuevos, en particular el ransomware , utilizan códigos polimórficos para evitar que los escáneres de virus los detecten. Jerome Segura, analista de seguridad de ParetoLogic, explicó: [146]
Es algo que muchas veces no detectan porque este tipo de virus [ransomware] proviene de sitios que utilizan un polimorfismo, lo que significa que básicamente aleatorizan el archivo que te envían y logra pasar por los productos antivirus conocidos con mucha facilidad. He visto a gente infectada de primera mano, que tiene todas las ventanas emergentes y, sin embargo, tiene un software antivirus en funcionamiento que no detecta nada. En realidad, puede ser bastante difícil deshacerse de él también, y nunca estás realmente seguro de si realmente ha desaparecido. Cuando vemos algo así, normalmente recomendamos reinstalar el sistema operativo o reinstalar las copias de seguridad. [146]
Un virus de prueba de concepto ha utilizado la unidad de procesamiento gráfico (GPU) para evitar ser detectado por el software antivirus. El éxito potencial de esto implica eludir la CPU para que a los investigadores de seguridad les resulte mucho más difícil analizar el funcionamiento interno de dicho malware. [147]
La detección de rootkits es un gran desafío para los programas antivirus. Los rootkits tienen acceso administrativo completo al equipo y son invisibles para los usuarios, además de estar ocultos en la lista de procesos en ejecución del administrador de tareas . Los rootkits pueden modificar el funcionamiento interno del sistema operativo y manipular los programas antivirus. [148]
Si un archivo ha sido infectado por un virus informático, el software antivirus intentará eliminar el código del virus del archivo durante la desinfección, pero no siempre puede restaurar el archivo a su estado original. [149] [150] En tales circunstancias, los archivos dañados solo se pueden restaurar a partir de copias de seguridad o instantáneas existentes (esto también es válido para el ransomware [151] ); el software instalado que está dañado requiere reinstalación [152] (sin embargo, consulte Comprobador de archivos del sistema ).
Cualquier firmware grabable en el ordenador puede ser infectado por código malicioso. [153] Esto es una preocupación importante, ya que un BIOS infectado podría requerir que el chip BIOS real sea reemplazado para asegurar que el código malicioso sea eliminado por completo. [154] El software antivirus no es eficaz para proteger el firmware y el BIOS de la placa base de la infección. [155] En 2014, los investigadores de seguridad descubrieron que los dispositivos USB contienen firmware grabable que puede ser modificado con código malicioso (denominado " BadUSB "), que el software antivirus no puede detectar ni prevenir. El código malicioso puede ejecutarse sin ser detectado en el ordenador e incluso podría infectar el sistema operativo antes de que se inicie. [156] [157]
El software antivirus tiene algunas desventajas, la primera de las cuales es que puede afectar el rendimiento de una computadora . [158]
Además, los usuarios inexpertos pueden tener una falsa sensación de seguridad al utilizar el ordenador, al considerar que éste es invulnerable, y pueden tener problemas para entender las indicaciones y decisiones que les presenta el software antivirus. Una decisión incorrecta puede dar lugar a una vulneración de la seguridad. Si el software antivirus emplea detección heurística, debe ajustarse para minimizar la identificación errónea de software inofensivo como malicioso ( falso positivo ). [159]
El software antivirus suele ejecutarse en el nivel de núcleo de alta confianza del sistema operativo para permitirle acceder a todos los procesos y archivos potencialmente maliciosos, creando una vía potencial de ataque . [160] La Agencia de Seguridad Nacional de los Estados Unidos (NSA) y las agencias de inteligencia de la Sede de Comunicaciones del Gobierno del Reino Unido (GCHQ), respectivamente, han estado explotando el software antivirus para espiar a los usuarios. [161] El software antivirus tiene un acceso altamente privilegiado y confiable al sistema operativo subyacente, lo que lo convierte en un objetivo mucho más atractivo para los ataques remotos. [162] Además, el software antivirus está "años por detrás de las aplicaciones del lado del cliente conscientes de la seguridad, como los navegadores o los lectores de documentos. Esto significa que Acrobat Reader, Microsoft Word o Google Chrome son más difíciles de explotar que el 90 por ciento de los productos antivirus que existen", según Joxean Koret, un investigador de Coseinc, una consultoría de seguridad de la información con sede en Singapur . [162]
El software antivirus instalado en los equipos individuales es el método más común para protegerse contra el malware, pero no es la única solución. Los usuarios también pueden utilizar otras soluciones, como la gestión unificada de amenazas ( UTM ), los cortafuegos de hardware y de red, los antivirus basados en la nube y los escáneres en línea.
Los cortafuegos de red impiden que programas y procesos desconocidos accedan al sistema. Sin embargo, no son sistemas antivirus y no intentan identificar ni eliminar nada. Pueden proteger contra infecciones desde fuera del equipo o red protegidos y limitar la actividad de cualquier software malicioso presente al bloquear las solicitudes entrantes o salientes en determinados puertos TCP/IP . Un cortafuegos está diseñado para hacer frente a amenazas más amplias del sistema que provienen de conexiones de red al sistema y no es una alternativa a un sistema de protección antivirus.
El antivirus en la nube es una tecnología que utiliza un software de agente liviano en la computadora protegida, mientras descarga la mayor parte del análisis de datos a la infraestructura del proveedor. [163]
Un enfoque para implementar antivirus en la nube implica escanear archivos sospechosos utilizando múltiples motores antivirus. Este enfoque fue propuesto por una implementación temprana del concepto de antivirus en la nube llamada CloudAV. CloudAV fue diseñado para enviar programas o documentos a una nube de red donde se utilizan simultáneamente múltiples programas antivirus y de detección de comportamiento para mejorar las tasas de detección. El escaneo paralelo de archivos utilizando escáneres antivirus potencialmente incompatibles se logra generando una máquina virtual por motor de detección y, por lo tanto, eliminando cualquier problema posible. CloudAV también puede realizar una "detección retrospectiva", mediante la cual el motor de detección en la nube vuelve a escanear todos los archivos en su historial de acceso a archivos cuando se identifica una nueva amenaza, mejorando así la velocidad de detección de nuevas amenazas. Finalmente, CloudAV es una solución para el escaneo de virus efectivo en dispositivos que carecen de la potencia informática para realizar los escaneos por sí mismos. [164]
Algunos ejemplos de productos antivirus en la nube son Panda Cloud Antivirus e Immunet . Comodo Group también ha producido antivirus basados en la nube. [165] [166]
Algunos proveedores de antivirus mantienen sitios web con la capacidad de escanear en línea de forma gratuita todo el equipo, solo las áreas críticas, los discos locales, las carpetas o los archivos. El escaneo en línea periódico es una buena idea para quienes ejecutan aplicaciones antivirus en sus equipos, ya que esas aplicaciones suelen ser lentas a la hora de detectar amenazas. Una de las primeras cosas que hace el software malicioso en un ataque es desactivar cualquier software antivirus existente y, a veces, la única forma de saber de un ataque es recurrir a un recurso en línea que no esté instalado en el equipo infectado. [167]
Existen herramientas de eliminación de virus que ayudan a eliminar infecciones persistentes o un determinado tipo de infección. Algunos ejemplos son Windows Malicious Software Removal Tool , [168] Kaspersky Virus Removal Tool , [169] y Sophos Scan & Clean . [170] También cabe señalar que, a veces, el software antivirus puede producir un resultado falso positivo, lo que indica una infección donde no la hay. [171]
Un disco de rescate de arranque, como un CD o un dispositivo de almacenamiento USB, se puede utilizar para ejecutar software antivirus fuera del sistema operativo instalado con el fin de eliminar infecciones mientras están inactivas. Un disco de rescate de arranque puede ser útil cuando, por ejemplo, el sistema operativo instalado ya no se puede iniciar o tiene malware que resiste todos los intentos de ser eliminado por el software antivirus instalado. Algunos ejemplos de software que se pueden utilizar en un disco de rescate de arranque incluyen Kaspersky Rescue Disk [172] , Trend Micro Rescue Disk [ 173] y Comodo Rescue Disk [174] .
Según una encuesta del FBI, las grandes empresas pierden 12 millones de dólares al año debido a incidentes con virus. [175] Una encuesta realizada por Symantec en 2009 descubrió que un tercio de las pequeñas y medianas empresas no utilizaban protección antivirus en ese momento, mientras que más del 80% de los usuarios domésticos tenían algún tipo de antivirus instalado. [176] Según una encuesta sociológica realizada por G Data Software en 2010, el 49% de las mujeres no utilizaban ningún programa antivirus. [177]
{{cite web}}: CS1 maint: estado de la URL ( enlace ){{citation}}: CS1 maint: URL no apta ( enlace )