71.5 KB · ⇊ 22 parts · ⤓ Micron 71.5 KB · ⤓ HTML 140.5 KB

top

Un mwdqantivirus è un mwdgsoftware finalizzato a prevenire, rilevare ed eventualmente rendere inoffensivi mwdwcodici dannosi e mweamalware per un mweqcomputer come mwegvirus, mwewadware, mwfabackdoor, mwfqBHO, mwfgdialer, mwfwfraudtool, mwgahijacker, mwgqkeylogger, mwggLSP, mwgwrootkit, mwhaspyware, mwhqtrojan, mwhgworm o mwhwransomware.cite-ref-1[1]

Generalmente tale tipo di programma non è in grado di proteggere totalmente un computer da tutte le minacce informatiche esistenti - attacchi cibernetici, mwjqAdvanced Persistent Threat (APT), mwjgbotnet, mwjwDDoS attack, mwkaphishing, mwkqscam, mwkgsocial engineering o mwkwspam - e quindi la mwlasicurezza è generalmente offerta da prodotti compositi e servizi offerti dalle aziende produttrici di software.

• Storia

• Gli studi di John Newman

• I primi esperimenti

• I virus polimorfi e la nascita degli antivirus

• Caratteristiche

• Componenti

• Metodi di analisi

• Firme (signatures)

• Tecnologie euristiche

• Analisi telemetriche

• Data mining

• Sandbox

• Funzionamento

• Diffusione del contagio

• Client di posta

• Browser

• Client IRC e IM

• Controversie

• Virus Bulletin VB100

• Questioni giuridiche

• Organizzazioni di ricerca antivirus

• Note

• Bibliografia

• Voci correlate

• Altri progetti

• Collegamenti esterni

• Organizzazioni che forniscono test comparativi

I virus informatici furono teorizzati per la prima volta nel mwmw1949 da mwnaJohn von Neumann il quale ipotizzò la creazione di programmi capaci di auto-replicarsi copiando il proprio codice. La prima apparizione di un software scritto con questo intento fu mwnqCreeper, creato da Bob Thomas presso la mwnwmwoaBolt Beranek and Newman, un'azienda del mwoqMassachusetts - in seguito divenuta mwogBBN Technologies - dove si svilupparono tecnologie per lo scambio di mwowpacchetti di dati nelle mwpareti di computer, riprese poi da mwpqArpanet. Newman stava lavorando allo sviluppo di mwpgTENEX, un mwpwsistema operativo mwqatime-sharing che girava su mwqqPDP-10 ed ebbe l'idea di scrivere un codice capace di poter passare da un computer a un altro mentre era in esecuzione. mwqgRay Tomlinson, un collega di Newman, elaborò il codice creando ciò che venne poi considerato il primo mwqwworm della storia: una versione che non era solo in grado di spostarsi da un sistema a un altro ma che riusciva a duplicarsi riproducendo copie di se stesso sui computer con i quali veniva in contatto. Questo portò al problema principale derivante da questo genere di software: come fermarne la diffusione. Perciò, parallelamente fu creato mwraReaper, scritto per il solo scopo di controllare se Creeper fosse in esecuzione su una determinata macchina ed eventualmente eliminarlo e divenendo difatti il primo programma antivirus della storia.cite-ref-storia-creeper-2-0[2]cite-ref-descrizione-creeper-3-0[3]

Il primo virus propriamente detto comparve nel mwtw1982 e si trattava di un programma, mwuaElk Cloner, scritto nel 1982 da mwuqRich Skrenta per il sistema operativo mwugApple DOS del mwuwpersonal computer mwvaApple II. Il virus si replicava infettando il settore di avvio dei mwvqfloppy disk e veniva perciò caricato in memoria insieme al sistema operativo e ogni volta che l'utente chiedeva l'elenco dei file del disco, il virus si copiava sul disco in quel momento presente nel lettore.cite-ref-topten-virus-4-0[4]cite-ref-tech-elkcloner-5-0[5]cite-ref-info-elkcloner-6-0[6]

Nel mwyw1984 comparve poi la prima definizione del terminologia - virus per computer - in un documento scritto da mwzaFred Cohen, dove lo descriveva come un programma che «mwzqcolpisce gli altri programmi del computer modificandoli in modo da includere una copia (possibilmente evoluta) di se stesso».cite-ref-7[7]cite-ref-8[8]

Il primo virus per sistemi mwbwMS-DOS fu mwcaBrain, risalente al mwcq1986 e noto anche come Pakistani Brain perché fu scritto da due fratelli pakistani. Non è chiaro se nacque come sistema anticopia o come virus vero e proprio ma sta di fatto che fu il primo virus a farsi conoscere a livello mondiale, tanto che per la sua diffusione fu definito «mwcgl'influenza pakistana» dalla rivista mwcwBusinessWeek.cite-ref-9[9]cite-ref-10[10]cite-ref-11[11] A Brain ne seguirono altri con una larga diffusione ma la loro relativa innocuità (in generale si limitavano a far apparire dei messaggi a video) non fece sentire la necessità di software capaci di contrastarli. Le cose cambiarono velocemente quando i virus iniziarono a compromettere i dati dei computer che colpivano.cite-ref-12[12] Nel mwha1987, l'mwhqhacker mwhgtedesco Bernd Fix scrisse un programma, che venne poi considerato il primo antivirus,cite-ref-13[13]cite-ref-14[14] per debellare il virus Vienna da un computer.

Sempre nel mwkg1987, mwkwG Data rilasciò G Data AntiVirusKit, considerato il primo antivirus commerciale, scritto per sistemi mwlaAtari ST.cite-ref-15[15]cite-ref-16[16]cite-ref-17[17]cite-ref-18[18] Alla fine dello stesso anno esordì Ultimate Virus Killer (UVK) 2000, un altro antivirus per l'Atari ST,cite-ref-19[19], McAfee VirusScan, scritto da mwqqJohn McAfee (che in seguito avrebbe fondato la mwqgMcAfee),cite-ref-20[20] e mwrwNOD32, scritto da due programmatori mwsaslovacchi che, grazie al suo successo, in seguito avrebbero fondato la mwsqESET.cite-ref-21[21]

Fred Cohen analizzò la proliferazione dei virus e la sempre più pressante necessità dei software antivirus arrivando a scrivere che «mwtwnon c'è nessun algoritmo che può riconoscere perfettamente tutti i possibili virus per computer».cite-ref-22[22] Infatti, molti virus venivano derivati da altri cambiando piccole porzioni di codice per cui era fondamentale tenere aggiornato l'archivio delle firme dei virus ma ciò era molto difficoltoso in un periodo in cui lo scambio dei dati avveniva per mezzo di supporti come i mwvafloppy disk. Fu per questo che comparvero alcuni antivirus basati su una nuova tecnologia di analisi, l'mwvqeuristica, i cui algoritmi di analisi lavoravano cercando di capire se un codice potesse essere ritenuto malevolo oppure no; in questo modo gli antivirus potevano identificare anche nuovi virus le cui firme non erano ancora presenti nei loro archivi. I primi antivirus euristici a comparire furono FluShot Plus di Ross Greenberg e Anti4us di Erwin Lanting, entrambi del 1987.cite-ref-storia-antivirus-23-0[23]

Per controbattere a questo meccanismo di identificazione, gli autori dei virus iniziarono a scrivere mwxqvirus polimorfi, capaci di mutare codice in modo da ingannare gli antivirus durante l'analisi. Ogni volta che il virus infettava un file, lo faceva con un codice leggermente differente dal suo e quindi ogni nuova copia era diversa. Il primo virus a basarsi su questa tecnica fu 1260, del mwxg1990.cite-ref-24[24] Un famoso virus polimorfo fu mwywDark Avenger, il cui autore distribuì anche un software per creare virus polimorfi, denominato Dark Avenger Mutation Engine.cite-ref-25[25] Per identificare questa nuova categoria di virus, vennero ideati degli algoritmi euristici differenti come il mw0aF-Prot, del mw0q1991.

Tra la fine degli mw0wanni ottanta e l'inizio degli mw1aanni novanta si ebbe la nascita di numerose società dedite esclusivamente allo sviluppo di antivirus che produssero software come mw1qAvira, del mw1g1988, mw1wAvast, del 1988, mw2aPanda Antivirus, del mw2q1990; mw2gNorton, del mw2w1991, mw3aAVG e mw3qF-Secure, del mw3g1992.cite-ref-storia-antivirus-23-1[23]

Un antivirus da solo, per quanto affidabile ed efficiente, non è una protezione totale contro la totalità dei virus informatici esistenti al mondo. Inoltre, un antivirus si basa su determinate regole e algoritmi scritti da esseri umani, e pertanto queste possono portare a errori come i falsi positivi, ossia file riconosciuti come infetti quando non lo sono, e falsi negativi, il caso opposto, oppure a decisioni sbagliate. Dal punto di vista tecnico ci sono svariati metodi che si possono utilizzare per prevenire e individuare malware. Un'ulteriore limitazione è dovuta al fatto che un virus potrebbe essere ancora non abbastanza diffuso, e quindi non essere ancora stato studiato da tutti i produttori di antivirus.

In generale, questi metodi possono essere suddivisi in tecniche di analisi statica, che si basano esclusivamente sull'analisi di codice e dati dei file binari (quali: signatures, analisi telemetriche e data mining), e analisi dinamica (quali: sandbox e honeypot), che si basano sull'esecuzione dinamica di un file per capire se è maligno o meno. Tuttavia, queste ultime tecniche sono raramente utilizzate nei prodotti antivirus destinati agli utenti finali ma sono generalmente utilizzate solamente all'interno dei laboratori delle aziende produttrici di software antivirus, al fine di aiutare i ricercatori a studiare i campioni malware. Questo è per via dei forti limiti dell'analisi dinamica, quali un alto overhead e il fatto che non può "vedere" tutto ciò che riguarda il programma. Tuttavia, esistono alcuni prodotti antivirus che effettivamente implementano queste tecniche.

Un antivirus è composto da più parti differenti, alcune indipendenti tra di loro; alcuni software antivirus possono essere sprovvisti di una o di entrambe le parti 3 e 4, che sono quelle che lavorano "in tempo reale" e in questo caso, il database delle firme va aggiornato manualmente e l'antivirus non effettua controlli dinamici del sistema, per cui è possibile usarlo solo per effettuare scansioni su richiesta:

1. il mw6qfile (o i file) delle firme: un archivio che contiene tutte le mw6gfirme dei virus conosciuti, parte fondamentale ed essenziale per il funzionamento corretto di qualsiasi altro componente;

2. il mw7afile binario: file in grado di ricercare il virus all'interno dei file del PC infettato e permette di eseguire su richiesta una serie di operazioni come sapere in che data è stato aggiornato l'ultima volta il database delle firme o effettuare una scansione completa del sistema su richiesta;

3. il file binario che viene caricato in memoria all'avvio del sistema e vi rimane in esecuzione fino a quando non si spegne il PC: questo componente richiama l'antivirus ogni qual volta viene creato/modificato un nuovo file o viene modificata una zona di memoria, per controllare che il computer non sia stato infettato con questa operazione;

4. il file binario che effettua gli aggiornamenti del file delle firme e di tutte le altre componenti dell'antivirus e che può far parte del file binario principale o essere un programma separato, la cui esecuzione è pianificata periodicamente.

Il metodo delle signatures, ovvero delle firme, è fra quelli più utilizzati e, sostanzialmente, prevede il confronto del file da analizzare con un archivio in cui sono schedati tutti i mw8gmalware conosciuti, o meglio le loro firme. L'efficienza di tale metodo si basa sulla completezza dell'archivio, diverso per ogni casa produttrice di software antivirus, e sulla velocità del software nell'eseguire il confronto tra il file e la firma, nonché sulla firma stessa. Una firma di un virus è una sequenza continua di byte che è comune per alcuni modelli di malware. Questo vuol dire che è contenuta all’interno del malware o di un file infetto e non nei file non danneggiati. Al giorno d’oggi, le firme non sono sufficienti per rilevare i file dannosi. I creatori dei malware utilizzano l’offuscazione, utilizzando diverse tecniche per coprire le loro tracce. Ecco perché i prodotti d’antivirus moderni devono utilizzare metodi di rilevamento più avanzati. I database degli antivirus contengono ancora firme (rappresentano oltre metà di tutte le voci del database), ma includono anche voci più sofisticate. L'archivio viene creato analizzando tutti i file presunti dannosi con cui si viene a contatto. Una volta trovato un file presunto dannoso, una casa produttrice di software antivirus, dovrà quindi analizzarlo e, eventualmente, aggiungere la firma di tale file al suo archiviocite-ref-26[26].

Risulta abbastanza chiaro che tutte le vulnerabilità di un mw-asistema operativo - sfruttate nel cosiddetto mw-qzero-day - e i malware non ancora scoperti, o semplicemente non ancora analizzati, non possono ovviamente far parte di un determinato archivio. Quindi, di fatto, questo metodo non può portare alla rilevazione totale di tutti i malware esistenti in quanto è presumibile che esisteranno sempre dei malware non ancora scoperti e/o analizzati. Neppure l'utilizzo incrociato di tutti i software antivirus esistenti al mondo potrebbe assicurare la completa inattaccabilità di un computer.

Tuttavia, nonostante questo, il metodo delle signatures rimane uno dei metodi più efficienti e consolidati nell'industria del settore. Questo anche perché non tutti i malware si diffondono con la stessa rapidità e con la stessa intensità. Più un malware è infettivo, infatti, e più è probabile che sia arrivato nelle mani dei ricercatori delle aziende produttrici di software antivirus. Quindi, sebbene il metodo utilizzato non garantisca l'assoluta inviolabilità, garantisce comunque una sicurezza abbastanza elevata dai malware più diffusi. Inoltre, bisogna anche considerare che molti dei malware esistenti non sono più in corso di diffusione, la cui esistenza è limitata ai centri di ricerca antimalware, che li usano per i test interni. Infine, uno dei punti chiave per cui il metodo è ancora quello più utilizzato è il fatto che, se correttamente implementato, garantisce un numero esiguo (teoricamente nullo) di falsi positivi, dipendente da come si estrae la firma in quanto se la firma identifica univocamente il malware analizzato (e.g. hash mw-wMD5 dell'intero file), questa stessa firma non potrà mai portare a un falso positivo.

Tuttavia, le aziende produttrici di software antivirus, per migliorare i loro prodotti al fine di rilevare anche programmi maligni non noti all'antivirus, cioè non ancora contenuti nel loro database dei malware, tendono a prendere solamente firme parziali dei malware. In generale, infatti, la signature estratta è rappresentata da un numero variabile (generalmente almeno tre) di sequenze di byte non consecutivi che rappresentano univocamente (con la migliore precisione possibile) il malware. In questo modo non solo diventa possibile la rilevazione di alcuni malware che non fanno ancora parte del database dell'antivirus, ma diventa anche più compatto il database stesso, con il conseguente aumento di velocità dell'antivirus nella scansione. Altri tipi di tecniche utilizzate per estrarre firme parziali sono i cosiddetti mw-qwildcards e le espressioni regolari.

La tecnologia mwaqqeuristica è un componente implementato da alcuni antivirus che consente di rilevare alcuni programmi maligni non noti all'antivirus, cioè non contenuti nel suo database dei mwaqumalware. Viene generalmente utilizzata come tecnologia complementare al mwaqymetodo delle firme. Vi sono diversi tipi di tecnologie euristiche, quali ad esempio la scansione della memoria o del codice sorgente in cerca di pattern noti come maligni. Altri metodi possono essere il controllo su sezioni con nomi sospetti o con grandezza dell'header irregolare.

Questa tecnologia non sempre è presente all'interno di un antivirus e non sempre garantisce buoni risultati. Infatti, in base a come viene implementata, se impostata ad un livello troppo sensibile, può portare a un maggior numero di mwaqgmwaqkfalsi positivi e/o di falsi negativi. Allo stesso modo, se impostata ad un livello troppo permissivo, può rivelarsi pressoché inutile. Agli albori, una delle tecniche euristiche più utilizzate riguardava la divisione del file binario in diverse sezioni, come ad esempio la sezione di dati e quella di codice.

Infatti, un file binario legittimo inizia solitamente sempre dalla stessa posizione. I primi virus, invece, riorganizzavano la disposizione delle sezioni, o sovrascrivevano la parte iniziale della sezione per saltare alla fine del file in cui si trovava il codice malevolo. Infine ri-saltavano all'inizio del file per riprendere l'esecuzione del codice originale. Questo, ovviamente, è un pattern ben preciso, che non era utilizzato da software legittimi, e che quindi rappresentava una buona euristica per la rilevazione di file sospetti.

Poiché le aziende produttrici di software antivirus hanno molti clienti sparsi in tutto il mondo, al giorno d'oggi, ci sono un sacco di informazioni di mwaq0telemetria che possono essere usate. Anzi, la maggior parte degli antivirus hanno sensori che salvano remotamente alcune informazioni che possono essere utilizzate per decidere, o per aiutare a decidere, se un binario osservato da un determinato cliente in una determinata posizione geografica è maligno o meno.

Uno dei più recenti metodi per la rilevazione di malware consiste nell'utilizzo di avanzati mwaraalgoritmi di mwaredata mining. Questi mwarialgoritmi utilizzano caratteristiche dei file, estratte direttamente dai file binari, per classificare un eseguibile come malevolo o no.cite-ref-27[27]cite-ref-28[28]cite-ref-29[29]cite-ref-30[30]cite-ref-31[31]cite-ref-32[32]cite-ref-33[33]cite-ref-34[34]cite-ref-35[35]cite-ref-36[36]cite-ref-37[37]cite-ref-38[38]cite-ref-39[39]cite-ref-40[40]

Alcuni antivirus eseguono i file ritenuti sospetti in una mwau0sandbox, ovvero un ambiente di prova chiuso, e tramite l'analisi del loro comportamento capiscono se contengono codice malevolo o meno. Questo metodo, se basato su buoni mwau4algoritmi, può essere molto preciso. Ovviamente, però, l'esecuzione all'interno di una sandbox richiede prestazioni e tempi di esecuzione più elevati rispetto ad un metodo basato sulle signatures. Generalmente metodi di analisi dinamica, come quello delle sandbox, sono usati dalle aziende produttrici di software antivirus al fine di analizzare i virus ricevuti ed estrarre automaticamente le firme.

Uno dei principali metodi di funzionamento degli antivirus si basa sulla ricerca nella memoria mwavmRAM e/o all'interno dei mwavqfile presenti in un mwavucomputer di uno schema tipico di ogni virus: in pratica ogni virus è composto da un numero ben preciso di mwavyistruzioni, detto mwavccodice, che possono essere viste come una stringa di mwavgbyte, e il programma non fa altro che cercare se questa sequenza è presente all'interno dei file o in memoria. Uno schema di questo tipo viene anche detto mwavkvirus signature. Il successo di questa tecnica di ricerca si basa sul costante mwavoaggiornamento degli schemi che l'antivirus è in grado di riconoscere, aggiornamento effettuato solitamente da un gruppo di persone in seguito alle segnalazioni degli utenti e da gruppi specializzati nell'individuazione di nuovi virus. A sua volta il software antivirus domestico/d'ufficio viene periodicamente aggiornato mwavsscaricando dalla mwavwRete i nuovi schemi di virus.

Antivirus con mwav4tecnologie euristiche tendono a prendere firme parziali dei virus, in modo da poter identificare anche virus non ancora nel loro database. Un'altra tecnica di riconoscimento consiste nell'analizzare il comportamento dei vari programmi alla ricerca di istruzioni sospette perché tipiche del comportamento dei virus (come la ricerca di mwav8file o mwawamwaweroutine di inserimento all'interno di un altro mwawifile) o nel ricercare piccole varianti di virus già conosciuti (variando una o più istruzioni è possibile ottenere lo stesso risultato con un programma leggermente differente).

In antivirus con tecnologie di analisi Real-Time, ogni file a cui l'utente o il sistema fanno accesso viene analizzato per verificare che non abbia una struttura sospetta o contenga istruzioni potenzialmente pericolose. In antivirus che utilizzano analisi comportamentali, ogni mwawqprocesso eseguito nel computer viene monitorato e si segnalano all'utente le azioni potenzialmente pericolose, come gli accessi al mwawuregistro di sistema dei sistemi Windows o le comunicazioni con altri processi.

Una delle funzionalità aggiuntive dei software antivirus è la possibilità di aggiornamenti automatici per mezzo dei quali software cerca, scarica e installa gli aggiornamenti non appena è disponibile una connessione internet. Gli aggiornamenti possono riguardare le firme di mwawcautenticazione dei virus e/o anche i motori di scansione e i motori euristici (funzionalità non sempre resa disponibile). Il primo software AntiVirus a introdurre gli aggiornamenti automatici Live-Update è stato mwawgNorton Antivirus della mwawkSymantec.

La protezione del sistema può poi essere integrata con un mwawsfirewall il quale permette di bloccare virus, anche non conosciuti, prima che questi entrino all'interno del computer, e volendo permette anche di bloccare all'interno alcuni virus presenti nel computer evitando così che possano infettare la rete cui si è collegati. Un firewall quindi può essere uno strumento aggiuntivo che impedisce a un virus di infettare la macchina prima che venga individuato dall'antivirus (con possibile perdita del file infetto). Inoltre permette di nascondere parzialmente o totalmente la macchina sulla rete evitando attacchi da parte di mwawwcracker o degli stessi virus.

Con l'avvento di internet l'antivirus è diventato uno strumento quasi indispensabile e quasi esclusivo solo per quanto riguarda i sistemi operativi della Microsoft, mentre gli altri sistemi risultano meno attaccati da virus; per questo motivo la maggior parte degli antivirus è realizzata per i sistemi operativi Microsoft. Negli ultimi anni sono stati prodotti antivirus anche per altri sistemi, di solito usati come server, per poter controllare il flusso di dati, soprattutto e-mail, che poi finiranno sui computer desktop degli utenti che usano prodotti Microsoft.

Con altri sistemi operativi basati Linux e Mac OS, la diffusione dei virus è molto più ostacolata soprattutto dalla diversa politica gestionale; i programmi utenti hanno attività più strettamente specificate e soprattutto con privilegi molto ridotti, così sono molto difficili le attività dei virus, e sono altrettanto limitati i danni che da questi potrebbero scaturire nell'esecuzione; risulta quindi molto difficile causare una compromissione del sistema operativo, come invece accade spesso nei sistemi Microsoft.I programmi che maggiormente permettono la diffusione dei virus sono i client di posta elettronica e i browser, questo perché questi due programmi rappresentano l'accesso diretto a due funzionalità indispensabili in internet: la posta e la navigazione web; un'altra tipologia di software molto colpito è quella costituita dai file di dati ricavati con il pacchetto Office della Microsoft; con questa suite è possibile creare all'interno dei file delle istruzioni (dette macro) che eseguono determinate funzionalità - in modo automatico o in seguito alla pressione di una determinata combinazione di tasti - che è possibile sfruttare per allegare ai file delle macro che sono in realtà dei virus.

In generale i virus sfruttano le vulnerabilità nei mwaxasistemi informatici, usando a volte - in modo automatico - tecniche di penetrazione sviluppate dai cracker. Diverse organizzazioni, oltre ai produttori di software antivirus, si occupano di raccogliere le segnalazioni di vulnerabilità o attacchi, e renderle pubblicamente disponibili; tali organizzazioni sono normalmente note con l'acronimo di mwaxeCERT ("Computer Emergency Response Team", squadra di risposta alle emergenze informatiche).

Tra i client di posta spicca l'uso di mwaxqOutlook Express, preinstallato, nella versione base, su tutti i sistemi operativi Microsoft; naturalmente anche altri client di posta, se funzionanti su sistema Microsoft, non sono immuni o totalmente immuni dall'essere un veicolo usato dai virus. Outlook Express unito all'inesperienza dell'utente, è forse la prima forma di diffusione di alcuni tipi di malware. Outlook Express per default memorizza tutti gli indirizzi E-Mail dai contatti prelevati in modo automatico da tutte le mail ricevute o spedite, questo fa sì che se un utente si iscrive, per esempio, ad una mwaxcmailing list può alla fine avere un insieme di indirizzi di dimensioni considerevoli; questa mwaxgbase di dati viene sfruttata dai virus per spedire delle mail e per cercare di espandere l'infezione.

I virus di ultima generazione sfruttano questi elenchi di indirizzi per nascondere il vero mittente, prendendo a caso due indirizzi, uno da usare come destinatario e l'altro da far risultare come mittente. Il problema di base è dovuto all'utente che apre ed esegue gli mwaxoallegati anche di mail che sono palesemente portatrici di virus, ma anche i buchi presenti in questi software hanno la loro parte. Per esempio, Outlook Express ha sofferto di svariati buchi molto critici che permettevano l'esecuzione del virus appena la mail era ricevuta all'interno del proprio client (quindi senza aprirla) o appena la si apriva (nella firma è possibile inserire delle istruzioni, istruzioni usate per attivare il virus). La prima causa di diffusione dei virus tramite i client di posta è l'esecuzione degli allegati e qui non esiste un client di posta che possa impedire la diffusione del virus se l'antivirus non riesce ad intercettarlo prima.

Anche i browser possono essere un veicolo per l'infezione, basta che vi sia un buco di sicurezza (vulnerabilità) sfruttato da un sito WEB che si visita. Come per i client di posta si ha che su tutti i sistemi operativi di mwax0Microsoft l'utente si trova installato mwax4Internet Explorer e, anche a causa della sua diffusione, risulta proprio questo browser il più soggetto a questi tipi di attacchi, tanto che ultimamente è stato consigliato da più fonti di usare altri browsercite-ref-41[41] soprattutto se si fanno delle transazioni a rischio (per esempio se si accede al proprio mwaymconto corrente).

I clienti dei sistemi di messaggistica immediata posseggono la capacità di inviare e ricevere file ed inoltre spesso sono dotati di un mwayclinguaggio di scripting che è stato spesso sfruttato per diffondere virus, mwaygbackdoor e mwaykdialer.

L'uso di questi programmi deve tenere in gran conto che l'utente che offre un file non corrisponde sempre necessariamente ad una persona reale, dal momento che molti virus si diffondono automaticamente. È consigliabile rifiutare gli invii a meno che non si abbia effettivamente richiesto o si desideri qualcosa da un utente conosciuto e non si abbia la protezione di un antivirus che effettua l'esame dei file, anche compressi, in tempo reale.

Si discute se i software antivirus siano o meno utili. Nel 2012, Imperva, una società di mwazmsicurezza informatica, ha pubblicato uno studio nel quale sosteneva che meno del 5% delle soluzioni antivirus erano in grado di rilevare mwazqvirus precedentemente non catalogati.cite-ref-42[42]cite-ref-43[43] Questo studio è stato ampiamente criticato non solo da quasi tutte le società produttrici di software antivirus, ma anche dalla maggior parte delle altre compagnie che lavorano nel mondo della mwaz0sicurezza informatica.cite-ref-on-the-topic-of-av-being-useless-44-0[44]cite-ref-45[45]cite-ref-46[46] La principale critica è legata alle dimensioni del campione di studio. Infatti, il test ha utilizzato solamente 84 campioni su i milioni di malware esistenti per mwaaoWindows.

Un'altra critica ha riguardato il fatto che lo studio è stato effettuato utilizzando i report di mwaawVirusTotal piuttosto che i reali prodotti e, come la stessa VirusTotal ha precisato: «Il servizio non è stato progettato come strumento per eseguire analisi comparative antivirus, ma come uno strumento che controlla campioni sospetti con diverse soluzioni antivirus e aiuta i laboratori antivirus inoltrandogli malware che non riescono a rilevare. Coloro che usano VirusTotal per eseguire analisi comparative antivirus dovrebbero sapere che stanno facendo molti errori impliciti nella loro metodologia, l'essere più ovvio...»cite-ref-47[47].cite-ref-48[48] Questo è principalmente dovuto al fatto che le compagnie produttrici di software antivirus non forniscono a VirusTotal le esatte configurazioni dei prodotti reali.cite-ref-on-the-topic-of-av-being-useless-44-1[44] Inoltre, VirusTotal non esegue i malware con i prodotti già installati. Questo significa che tutte le tecnologie euristiche e comportamentali e la scansione della memoria non sono utilizzate. E così i risultati del rilevamento sono scarsi rispetto ai prodotti completi. Un altro aspetto che è stato criticato è stata la "rilevanza" dei campioni. Infatti, il set di campioni dovrebbe includere solo campioni che sono stati verificati infettivi. Valutare la protezione degli antivirus utilizzando campioni di prova che non rappresentano alcun pericolo non ha alcun senso. Per questa, e altre ragioni, la Anti-Malware Testing Standards Organization (AMTSO) fornisce linee guida per il testing di prodotti AntiMalware.cite-ref-49[49]

Nel 2017, il computer di un consulente della mwab8National Security Agency è stato violato attraverso l'antivirus, regolarmente installato ed aggiornato. Si è ipotizzato che la singola installazione sia stata manipolata da un operatore della casa madre del software, in modo tale da permettere l'mwacaattacco da parte di un soggetto remoto, considerato che la società ha fornito il codice del programma alle autorità governative e che queste non hanno rilevato la presenza di mwacebackdoor.cite-ref-50[50] Uno dei fattori di rischio è il fatto che gli antivirus sono programmi a sorgente chiuso e proprietario, tali che sottraggono al singolo acquirente il pieno controllo della propria macchina, per cederne le chiavi di accesso a uno più soggetti terzi.

Il mwacgVB100 è un premio dato da mwackVirus Bulletin e rappresenta uno dei più famosi riconoscimenti per i software AntiVirus. Stando a quanto pubblicato da Virus Bulletincite-ref-51[51] le uniche società di cui almeno uno dei loro prodotti è stato iscritto al test per almeno tre volte e ha sempre ottenuto il mwac4VB100 per la categoria di mwac8Windows 7 sono:

• mwadiAviracite-ref-vb100-results-history-avira-52-0[52]

• mwadgBullGuardcite-ref-53[53]

• mwad4ESETcite-ref-54[54]

• mwaeqFriskcite-ref-55[55]

• mwaeoG Datacite-ref-56[56]

• mwafaKasperskycite-ref-57[57]

• mwafyF-Securecite-ref-58[58]

• mwafwPanda Securitycite-ref-vb100-results-history-panda-59-0[59]

• mwagiSophoscite-ref-vb100-results-history-sophos-60-0[60]

Curiosamente, non è mai esistito un antivirus che non abbia fallito il test almeno una volta nella categoria di mwaggWindows XP.

Per le categorie di mwagoRed Hat Enterprise Linux e di mwagsUbuntu Linux Server Edition, invece, le società sono:

• mwag4Aviracite-ref-vb100-results-history-avira-52-1[52]

• mwahqPanda Securitycite-ref-vb100-results-history-panda-59-1[59]

• mwahoSophoscite-ref-vb100-results-history-sophos-60-1[60]

Una delle principali battaglie e delle lamentele dell'industria degli antivirus è quella relativa alla creazione di una regolamentazione unificata e globale, una base di regole comuni per contrastare legalmente i mwaiecrimini informatici. Infatti, ancora oggi, anche se una società produttrice di antivirus dovesse riuscire a scoprire chi è il criminale informatico dietro alla creazione di un particolare mwaiivirus o di un mwaimmalware, spesso le autorità locali non possono comunque agire.cite-ref-ted-com-61-0[61]cite-ref-62[62] Questo è principalmente dovuto al fatto che praticamente ogni stato ha una sua propria regolamentazione, differente da quella degli altri stati.

«[I virus informatici] passano da un paese a un altro, da una giurisdizione all'altra – si spostano in tutto il mondo, sfruttando il fatto che non siamo in grado di eseguire globalmente operazioni di polizia come questa. Quindi Internet è come se qualcuno [avesse] dato biglietti aerei gratuiti a tutti i criminali online del mondo.cite-ref-63[63]»cite-ref-ted-com-61-1[61] (Mikko Hyppönen)

La mwajcCommissione europea ha deciso di fondare l'mwajgEC3 (European Cybercrime Centre)cite-ref-64[64] il quale è attivo dal primo gennaio mwaj02013 e si focalizza nella lotta della mwaj4UE contro i mwaj8crimini informatici.cite-ref-65[65]

• Anti-Malware Testing Standards Organization

• AVAR (Association of antiVirus Asia Researchers)

• mwakoCARO (Computer Antivirus Research Organization)

• mwakwEICAR (European Institute for Computer Antivirus Research)

cite-note-11. ↑ mwalmmwalqmwaluAntivirus software, su mwalysearchsecurity.techtarget.com, TechTarget.com. mwalcURL consultato il 30 aprile 2016.

cite-note-storia-creeper-22. ↑ mwalsmwalwmwal0First computer virus of Bob Thomas, su mwal4history-computer.com. mwal8URL consultato il 10 maggio 2015 mwama(archiviato dall'mwameurl originale il 13 dicembre 2014).

cite-note-descrizione-creeper-33. ↑ mwamumwamymwamcDescrizione di Creeper, su mwamgvirus.wikidot.com, Virus.wikidot. mwamkURL consultato il 10 maggio 2015.

cite-note-topten-virus-44. ↑ mwam0Iain Thomson , Shaun Nichols, mwam4mwam8Top ten worst viruses, su mwanapcauthority.com.au, PC & Tech Authority, 4 maggio 2009. mwaneURL consultato il 7 maggio 2015.

cite-note-tech-elkcloner-55. ↑ mwanuMargaret Rouse, mwanymwancElk Cloner, su mwangsearchsecurity.techtarget.com, Tech Target. mwankURL consultato il 7 maggio 2015 mwano(archiviato dall'mwansurl originale il 29 aprile 2015).

cite-note-info-elkcloner-66. ↑ mwan8mwaoamwaoeList of computer viruses developed in 1980s, su mwaoiinfoniac.com, Info NIAC, 7 settembre 2009. mwaomURL consultato il 7 maggio 2015 mwaoq(archiviato dall'mwaouurl originale il 24 luglio 2011).

cite-note-77. ↑ mwaokFred Cohen, mwaoomwaosComputer Viruses – Theory and Experiments (1983), su mwaoweecs.umich.edu, 1984. mwao0URL consultato il 29 aprile 2016.

cite-note-88. ↑ mwapeFred Cohen, mwapimwapmOn the implications of Computer Viruses and Methods of Defense, 1988. mwapqURL consultato il 29 aprile 2016.

cite-note-99. ↑ mwapgmwapkmwapoScheda del Brain, su mwapsf-secure.com, F-Secure. mwapwURL consultato il 26 dicembre 2010.

cite-note-1010. ↑ mwaqamwaqemwaqiStoria dei virus per computer, su mwaqmcknow.com, Computer Knowledge. mwaqqURL consultato il 26 dicembre 2010.

cite-note-1111. ↑ mwaqgTrend Micro, mwaqkmwaqoI 20 virus che hanno fatto la storia, su mwaqsblog.panorama.it, Panorama.it, 24 novembre 2008. mwaqwURL consultato il 6 gennaio 2011 mwaq0(archiviato dall'mwaq4url originale il 7 luglio 2012).

cite-note-1212. ↑ mwarimwarmmwarqAbout computer viruses of 1980's (mwarumwaryPDF). mwarcURL consultato il 30 aprile 2016.

cite-note-1313. ↑ mwarsmwarwmwar0Securelist (History of malicious programs) mwar4[archiviato su Archive.orgmwar8], su mwasasecurelist.com. mwaseURL consultato il 30 aprile 2016 mwasi(archiviato dall'mwasmurl originale il 24 luglio 2012).

cite-note-1414. ↑ mwascmwasgmwaskKaspersky Virenlexikon (mwasomwassPDF). mwaswURL consultato il 30 aprile 2016 mwas0(archiviato dall'mwas4url originale il 24 maggio 2012).

cite-note-1515. ↑ mwatimwatmmwatqmwatumwatyLa sicurezza informatica dall'inventore dell'antivirusmwatc., «gdata.it», 9 giugno mwatg2023

cite-note-1616. ↑ mwatwmwat0mwat4mwat8mwauaCyberDefense - Made in Germany G DATA ab sofort mit neuem Namenmwaue., «wallstreetonline.de», 9 giugno mwaui2023

cite-note-1717. ↑ mwauymwaucmwaugmwaukmwauoAndreas Lüning gründete weltweit aktive IT-Security Firma: Virenbekämpfer aus Wanne-Eickelmwaus., «inherne.net», 9 giugno mwauw2023

cite-note-1818. ↑ mwavamwavemwaviG Data History, su mwavmgdatasoftware.co.uk, G Data. mwavqURL consultato il 30 aprile 2016.

cite-note-1919. ↑ mwavgmwavkmwavoStoria dell'antivirus Ultimate Virus Killer, su mwavsuvk2000.exxoshost.co.uk. mwavwURL consultato il 30 aprile 2016 mwav0(archiviato dall'mwav4url originale il 31 maggio 2016).

cite-note-2020. ↑ mwawiKevin McAleavey, mwawmmwawqThe Birth of the Antivirus Industry, su mwawuinfosecisland.com. mwawyURL consultato il 30 aprile 2016 mwawc(archiviato dall'mwawgurl originale il 21 aprile 2016).

cite-note-2121. ↑ mwawwmwaw0mwaw4Storia di NOD32, su mwaw8eset.com, ESET. mwaxaURL consultato il 30 aprile 2016 mwaxe(archiviato dall'mwaxiurl originale il 13 ottobre 2016).

cite-note-2222. ↑ mwaxyFred Cohen, mwaxcmwaxgAn Undetectable Computer Virus, 1987. mwaxkURL consultato il 30 aprile 2016 mwaxo(archiviato dall'mwaxsurl originale il 4 giugno 2011).

cite-note-storia-antivirus-2323. ↑ mwayemwayimwaymWhat is an antivirus software?, su mwayqantivirus.comodo.com, Comodo.com. mwayuURL consultato il 30 aprile 2016.

cite-note-2424. ↑ mwaykmwayomwaysVirus V2PX (1260), su mwaywhome.mcafee.com, McAfee. mway0URL consultato il 30 aprile 2016.

cite-note-2525. ↑ mwazemwazimwazmDark Avenger Mutation Engine, su mwazqvirus.wikidot.com, The Virus Encyclopedia. mwazuURL consultato il 30 aprile 2016 mwazy(archiviato dall'mwazcurl originale il 17 gennaio 2013).

cite-note-2626. ↑ mwazsmwazwmwaz0Principi fondamentali dell’antivirus, su mwaz4kaspersky.it. mwaz8URL consultato il 23 maggio 2019.

cite-note-2727. ↑ mwa0m(mwa0qmwa0uEN) mwa0ymwa0cA Machine Learning Approach to Anti-virus System, su mwa0gJapan Science and Technology. mwa0kURL consultato il 30 novembre 2020 mwa0o(archiviato dall'mwa0surl originale il 13 aprile 2013).

cite-note-2828. ↑ mwa08mwa1amwa1eData Mining Methods for Malware Detection, su mwa1igoogle.is mwa1m(archiviato dall'mwa1qurl originale il 26 agosto 2014).

cite-note-2929. ↑ mwa1gmwa1kmwa1oData mining and Machine Learning in Cybersecurity, su mwa1sgoogle.is.

cite-note-3030. ↑ mwa18mwa2amwa2eAnalysis of Machine learning Techniques Used in Behavior-Based Malware Detection, su mwa2iieeexplore.ieee.org.

cite-note-3131. ↑ mwa2ymwa2cmwa2gA survey of data mining techniques for malware detection using file features, su mwa2kdl.acm.org.

cite-note-3232. ↑ mwa20mwa24mwa28Intelligent automatic malicious code signatures extraction, su mwa3aieeexplore.ieee.org.

cite-note-3333. ↑ mwa3qmwa3umwa3yMalware Detection by Data Mining Techniques Based on Positionally Dependent Features, su mwa3cieeexplore.ieee.org.

cite-note-3434. ↑ mwa3smwa3wmwa30Data mining methods for detection of new malicious executables, su mwa34ieeexplore.ieee.org.

cite-note-3535. ↑ mwa4imwa4mmwa4qIMDS: Intelligent Malware Detection System, su mwa4udl.acm.org.

cite-note-3636. ↑ mwa4kmwa4omwa4sLearning to Detect and Classify Malicious Executables in the Wild, su mwa4wdl.acm.org.

cite-note-3737. ↑ mwa5amwa5emwa5iMalware detection using statistical analysis of byte-level file content, su mwa5mdl.acm.org.

cite-note-3838. ↑ mwa5cmwa5gmwa5kAn intelligent PE-malware detection system based on association mining, su mwa5olink.springer.com.

cite-note-3939. ↑ mwa54mwa58mwa6aMalware detection based on mining API calls, su mwa6edl.acm.org.

cite-note-4040. ↑ mwa6umwa6ymwa6c"Andromaly": a behavioral malware detection framework for android devices, su mwa6glink.springer.com.

cite-note-4141. ↑ mwa6wmwa60mwa64Francia e Germania sconsigliano Internet Explorer.

cite-note-4242. ↑ mwa7imwa7mmwa7qAssessing the Effectiveness of Antivirus Solutions (mwa7umwa7yPDF).

cite-note-4343. ↑ mwa7omwa7smwa7wOutmaneuvered at Their Own Game, Antivirus Makers Struggle to Adapt.

cite-note-on-the-topic-of-av-being-useless-4444. ↑ mwa8imwa8mmwa8qOn the Topic of AV Being Useless.

cite-note-4545. ↑ mwa8gmwa8kmwa8oThat Anti-Virus Test You Read Might Not Be Accurate, and Here's Whys.

cite-note-4646. ↑ mwa84mwa88mwa9aDo you really need Anti Virus protection? Go on uninstall it then mwa9e(archiviato dall'mwa9iurl originale il 18 gennaio 2013).

cite-note-4747. ↑ mwa9y"At VirusTotal we are tired of repeating that the service was not designed as a tool to perform antivirus comparative analyses, but as a tool that checks suspicious samples with several antivirus solutions and helps antivirus labs by forwarding them the malware they fail to detect. Those who use VirusTotal to perform antivirus comparative analyses should know that they are making many implicit errors in their methodology, the most obvious being..."

cite-note-4848. ↑ mwa9omwa9smwa9wAbout - VirusTotal, su mwa90virustotal.com. mwa94URL consultato l'8 maggio 2018 mwa98(archiviato dall'mwa-aurl originale il 15 gennaio 2013).

cite-note-4949. ↑ mwa-qmwa-umwa-yAMTSO Anti-Malware Testing Standards Organization.

cite-note-5050. ↑ mwa-omwa-smwa-wRussian spies used Kaspersky AV to hack NSA staffer, swipe exploit code – new claim, in mwa-0mwa-4The Register, 5 ottobre 2017. mwa-8URL consultato il 18 agosto 2019 mwa-a(mwa-earchiviato il 5 ottobre 2017).

cite-note-5151. ↑ mwa-umwa-ymwa-cVB100 vendorsmwa-o.

cite-note-vb100-results-history-avira-5252. ↑ mwbacmwbagmwbakVB100 Results History: Aviramwbaw.

cite-note-5353. ↑ mwbbcmwbbgmwbbkVB100 Results History: BullGuardmwbbw.

cite-note-5454. ↑ mwbccmwbcgmwbckVB100 Results History: ESETmwbcw.

cite-note-5555. ↑ mwbdcmwbdgmwbdkVB100 Results History: Friskmwbdw.

cite-note-5656. ↑ mwbecmwbegmwbekVB100 Results History: G Datamwbew.

cite-note-5757. ↑ mwbfcmwbfgmwbfkVB100 Results History: Kasperskymwbfw.

cite-note-5858. ↑ mwbgcmwbggmwbgkVB100 Results History: F-Securemwbgw.

cite-note-vb100-results-history-panda-5959. ↑ mwbhkmwbhomwbhsVB100 Results History: Panda, su mwbhwvirusbtn.com. mwbh0URL consultato il 23 agosto 2014 mwbh4(archiviato dall'mwbh8url originale il 4 novembre 2014).

cite-note-vb100-results-history-sophos-6060. ↑ mwbiumwbiymwbicVB100 Results History: Sophosmwbio.

cite-note-ted-com-6161. ↑ mwbjcmwbjgmwbjkMikko Hypponen: Fighting viruses, defending the net, su mwbjoted.com. mwbjsURL consultato il 29 aprile 2019 mwbjw(archiviato dall'mwbj0url originale il 22 febbraio 2014).

cite-note-6262. ↑ mwbkemwbkimwbkmMikko Hypponen - Behind Enemy Lines.

cite-note-6363. ↑ [Computer viruses] switch from one country to another, from one jurisdiction to another — moving around the world, using the fact that we don't have the capability to globally police operations like this. So the Internet is as if someone [had] given free plane tickets to all the online criminals of the world.

cite-note-6464. ↑ mwbko(mwbksmwbkwEN) mwbk0mwbk4Virus Bulletinmwbk8 :: European Cybercrime Centre set for launch, su mwblavirusbtn.com. mwbleURL consultato l'8 maggio 2018.

cite-note-6565. ↑ mwblumwblymwblcEuropol European Cybercrime Centre (EC3).

• citeref-mcmicrocomputer-142Come funzionano gli antivirus (JPG), in MCmicrocomputer, n. 142, Roma, Technimedia, luglio/agosto 1994, pp. 286-289, ISSN 1123-2714.

• mwblw(EN) Peter Szor, mwbl0The Art of Computer Virus Research and Defense, Addison-Wesley 2005, ISBN 0-321-30454-3

• mwbmiAntispyware

• mwbmqFirewall

• mwbmyJohn von Neumann

• mwbmgMalware

• mwbmoSpyware

• mwbmwTrojan (informatica)

• mwbm4Virus (informatica)

• mwbnaVirus polimorfi

• mwbniWorm

Altri progetti

• Wikizionario

• Wikimedia Commons

• Wikizionario contiene il lemma di dizionario «antivirus»

• Wikimedia Commons contiene immagini o altri file sull'antivirus

• citereftreccani-itAntivirus, su Treccani.it – Enciclopedie on line, Istituto dell'Enciclopedia Italiana.

• citerefvocabolario-treccaniAntivìrus, su Vocabolario Treccani, Istituto dell'Enciclopedia Italiana.

• citerefsapere-itantivirus, su sapere.it, De Agostini.

• citereflessico-del-xxi-secoloAntivirus, in Lessico del XXI secolo, Istituto dell'Enciclopedia Italiana, 2012.

• citereffoldoc(EN) Denis Howe, antivirus software, in Free On-line Dictionary of Computing. Disponibile con licenza mwbnkGFDL

• mwbnsCARO - Computer Antivirus Research Organization, su caro.org. URL consultato il 18 marzo 2012 (archiviato dall'url originale il 28 settembre 2011).

• mwbn0EICAR - European Institute for Computer Antivirus Research, su eicar.org.

• mwbn8AVAR - Association of anti Virus Asia Researchers, su aavar.org.

• mwboeAMTSO - Anti-Malware Testing Standards Organization, su amtso.org.

• mwbomEC3 - European Cybercrime Centre, su europol.europa.eu.

• mwbocAV-Comparatives, su av-comparatives.org.

• mwbokAV Test, su av-test.org.

• mwbosICSA Labs, su icsalabs.com. URL consultato il 12 gennaio 2013 (archiviato dall'url originale il 13 agosto 2015).

• mwbo0Virus Bulletin, su virusbulletin.com.