como funciona um programa antivírus?

O antivírus é o programa de segurança mais conhecido, mas ele mudou muito com o passar dos anos. (O David TUTORIAIS e GTA Explica) da coluna Segurança Digital de hoje traz perguntas e respostas sobre o funcionamento dos antivírus.

1. Por que é preciso instalar um antivírus?
Em um videogame, todos os jogos precisam ser autorizados pelo fabricante do equipamento para funcionarem. Isso controla quais os jogos que funcionam no aparelho e também serve como recurso antipirataria. Mesmo que alguém crie um jogo para determinado videogame, o jogo não será reconhecido pelo aparelho sem uma licença.

Nos sistemas de computador, como Windows, OS X e Linux, não há nenhuma restrição aplicada aos programas. Qualquer pessoa pode fazer um programa e distribui-lo. O programa vai funcionar, desde que seja compatível com o hardware e com o sistema instalado. Isso diminui custos e burocracia, além de aumentar a variedade de programas em existência. No entanto, também permite que pessoas mal-intencionadas criem programas prejudiciais ao computador.

Esses programas prejudiciais são os "malwares". Na década de 80 e 90, quase todos esses "malwares" eram parasitas, que se copiavam para dentro de outros programas com o objetivo de se espalhar. Por isso, é normal também chamar esses softwares de "vírus".

O antivírus tem o objetivo de garantir que o sistema esteja livre desses "malwares".

2. Por que o antivírus precisa ser atualizado?
O programa antivírus tradicional funciona com o que se chama de "lista negra", ou seja, o antivírus tem uma relação de programas que ele sabe que são ruins. Essa relação de programas ruins é chamada de "banco de dados de assinaturas" e ele precisa ser sempre atualizado para que o antivírus possa identificar os programas maliciosos mais recentes. Milhares de novos códigos prejudiciais são distribuídos diariamente por criminosos no mundo todo, o que significa que um antivírus desatualizado tem pouca utilidade.

3. No que consiste uma "assinatura"?
Em sua forma mais simples, a assinatura é um trecho de um programa ou arquivo. Caso o antivírus localize esse trecho, então o programa ou arquivo é detectado como malicioso.

O nome "assinatura" é uma analogia às assinaturas. A assinatura que você deixa em um contrato não é "você", mas ela serve para identificá-lo. O mesmo vale para as assinaturas do antivírus. A assinatura é uma informação que o antivírus usa para identificar um arquivo malicioso; qualquer coisa pode estar nessa assinatura, dependendo da capacidade do programa antivírus e a necessidade em questão.

4. O que é a quarentena?
A quarentena é onde o antivírus armazena os arquivos que foram identificados como maliciosos. O antivírus não apaga imediatamente os arquivos porque existem casos em que o antivírus gera um "alarme falso", ou seja, detecta um arquivo que não está infectado. Ao colocar o arquivo na quarentena, o antivírus lhe dá a opção de eventualmente recuperar o arquivo.

5. Se o antivírus não tem uma assinatura, ele deixa o vírus passar?
De modo geral, sim. No entanto, os programas antivírus modernos possuem tecnologias como a análise de comportamento e a heurística que realizam "detecções genéricas". A ideia é analisar características do arquivo ou do programa quando ele está em execução para determinar quando um software pode ser malicioso.

Por exemplo, um programa que envia muitos dados diferentes para a internet e não possui janela nem ícone talvez seja um software espião; um software que monitora as teclas digitadas e títulos de janela pode ser um programa que captura a digitação para roubar senhas e assim por diante. Analisando esses comportamentos, um antivírus pode, às vezes, alertar sobre um programa para o qual ele ainda não tem uma assinatura.

Por outro lado, os programas precisam ter muito cuidado para não gerar "alarmes falsos".

6. O que é uma "lista branca"?
A "lista branca" contém os programas que são reconhecidos como bons. Quando um sistema só permite que programas licenciados sejam usados (como é o caso do iOS, da Apple, e do Windows Phone, da Microsoft), ele já trabalha mais ou menos com a ideia de uma "lista branca".

Nos antivírus, as "listas brancas" são listas auxiliares para reduzir a ocorrência de alarmes falsos e outros erros dos programas antivírus. Em alguns contextos empresariais, o sistema de lista branca pode ser aplicado no lugar do da lista negra, proibindo que qualquer aplicativo não autorizado seja instalado e executado.

7. O que é a proteção em tempo real?
Um antivírus pode detectar programas maliciosos quando você realiza um exame completo do seu computador. A análise em tempo real verifica os arquivos conforme eles são lidos ou escritos. Sem ela, o antivírus não tem poder de prevenção, porque não é capaz de detectar um vírus no momento da contaminação.

8. Qual a diferença entre um antivírus, um antispyware, um antitrojan, anti...?
Programas antivírus atuais detectam todo tipo de código malicioso, independentemente da classificação. Houve uma época em que determinados programas eram mais adequados para lidar com certos problemas, mas com o tempo os antivírus integraram todas essas funções. Para se proteger de programas maliciosos, você só precisa de um antivírus.

9. Quais outros recursos um antivírus possui?Alguns antivírus são fornecidos como parte de uma "suíte de segurança", contendo outros programas. Por esse motivo, algumas empresas decidem incorporar algumas proteções no antivírus, enquanto outras ficam reservadas ao firewall. Isso varia de acordo com o fabricante.

Exemplo: alguns antivírus possuem recursos de análise de tráfego para detectar ataques ou códigos ainda enquanto estão sendo transmitidos. Esse comportamento poderia muito bem fazer parte de um firewall.

O antivírus tradicional apenas examina os arquivos e a memória pela presença de códigos maliciosos.