Un Antivirus

[dje_forever]

Bonjour à tous,

nous allons aujourd'hui définir un peu ce qu'est un antivirus. C'est un sujet souvent discuté. En effet, combien de posts a t on lu parlant de : au secours j'ai un virus etc etc. Le but de ce thread est de définir un petit peu ce qu'est un antivirus et d'en découvrir le fonctionnement global.

Les anti-virus utilisent plusieurs fonctions essentielles pour lutter contre les virus :

1) Recherche de la signature:

Les fonctions de recherche sur demande de l'utilisateur ou par suggestion du programme (mais si vous savez bien le petit pop up qui vous dit attention vous n'avez pas vérifier le présence de virus depuis xx jours) permet de vérifier le ou les disques durs à la recherche de virus. Ce scan doit bien entendu être effectué régulièrement, la fréquence dépendant du degrès de paranoia du l'utilisateur.

Son avantage est qu'il permet de détecter les virus avant leur exécution en mémoire. Son principe est de rechercher sur le disque dur toute chaîne de caractères identifiées comme appartenant à un virus. Cependant comme chaque virus a sa propre signature, il faut, pour le détecter avec un scanneur que le concepteur de l’antivirus ait déjà été confronté au virus en question et l'ait intégré à une base de données. Un scanneur n'est donc pas en mesure de détecter les nouveaux virus ou les virus polymorphes (car ceci changent de signature à chaque réplication.) Cette méthode est à la fois la plus simple à programmer mais aussi la plus longue à mettre en œuvre car elle n'est utile que si elle recense tous les virus existant. On voit donc déjà arriver un problème qui est le suivant : la mise à jour de la base de donnée de l'antivirus, en effet il s'agit de l'unique moyen pour un scanneur d'être performant.

2) Utilisation d’un contrôleur d’intégrité :

En gros, un contrôleur d'intégrité va construire un fichier contenant les noms de tous les fichiers présents sur le disque dur auxquels sont associés quelques caractéristiques. Ces dernières peuvent prendre en compte la taille, la date et l'heure de la dernière modification ou encore un checksum (somme de contrôle). Un CRC (Code de Redondance Cyclique), ou un algorithme de checksum avec un système de chiffrement propriétaire et pourra détecter toutes modifications ou altérations des fichiers en recalculant le checksum à chaque démarrage de l'ordinateur (si l’antivirus n'est pas résident), ou dès qu'un fichier exécutable est ouvert par un programme (si l’antivirus est résident); en effet si le checksum d'un programme avant et après son exécution est différent, c'est qu'un virus a modifié le fichier en question, l'utilisateur en est donc informé. D'autre part l’antivirus peut aussi stocker la date et la taille de chaque fichier exécutable dans une base de données, et tester les modifications éventuelles au cours du temps. Il est en effet rare de modifier la taille ou la date d'un fichier exécutable. La parade pour les virus est de sauvegarder la date du fichier avant la modification et de la rétablir après.

3) Moniteur de comportement :

Les moniteurs de comportement ont pour rôle d'observer l'ordinateur à la recherche de toute activité de type virale, et dans ce cas de prévenir l’utilisateur. Typiquement, un moniteur de comportement est un programme résident que l'utilisateur charge et qui reste actif en arrière plan, surveillant tout comportement inhabituel. Description d’attaque virale, les tentatives d'ouverture en lecture/écriture des fichiers exécutables, les tentatives d'écriture sur les secteurs de partitions et de démarrage, les tentatives pour devenir résident.

4) Démarche heuristique :

Fondamentalement, l'analyse heuristique concerne la recherche de code correspondant à des fonctions virales. Elle est différente dans son principe, d’un moniteur de comportement qui surveille des programmes ayant une action de type virale. L’analyse heuristique est comme le scanning, passive. Elle considère le code comme une simple donnée, et n'autorise jamais son jamais son exécution.

Un analyseur heuristique va donc rechercher du code dont l'action est suspecte s'il vient à être exécuté. L'analyse heuristique permet par exemple, pour les virus polymorphes de chercher une routine de déchiffrement (une routine de déchiffrement consiste à parcourir le code pour ensuite la modifier). Ainsi lors de l'analyse heuristique, l’anti-virus essaie de rechercher non pas des séquences fixes d'instructions spécifiques au virus mais un type d'instruction présent sous quelque forme que ce soit. Pour en revenir à notre exemple de virus polymorphes, l’anti-virus cherche une suite d'instructions de lecture suivie d'une suite d'instruction d'écriture. Cette méthode est donc un peu plus intelligente que les autres car elle vise à analyser les fonctions et instructions les plus souvent présentes et que l'on retrouve dans la majorité des virus. Cette méthode permet ainsi, contrairement au scanning, de détecter des nouveaux virus dont la signature n'a pas été ajoutée à la base de données.

5) Analyse spectrale :

Tout code généré automatiquement est supposé contenir des signes révélateurs du compilateur utilisé. De même, au contraire, il est impossible de retrouver dans un vrai programme exécutable compilé certaines séquences de code. C’est grâce à ce principe qu'entre en jeu l'analyse spectrale. Cette analyse vise à repérer les virus polymorphes qui sont indétectables autrement (leur signature changeant à chaque réplication). En effet, lorsqu’un virus polymorphe crypte son code, la séquence en résultant contient certaines associations d'instructions que l'on ne trouve pas en temps normal, c'est ce que va détecter l'analyse spectrale. Par exemple, si dans un programme exécutable, l’anti-virus trouve une instruction de lecture d'un octet au-delà de la taille limite de la mémoire, on sera probablement en présence de code crypté, donc d'un virus polymorphe.

6) Fonction résidente ou permanente:

Et puis une fonction résidente ou permanente, c'est à dire qui fonctionne dès le lancement de l'ordinateur (le Boot) jusqu'à son extinction. Cette fonction opère en arrière plan, ou en tâche de fond, c'est-à-dire de façon transparente. Sans rentrer dans les détails, elle surveille toute l'activité du PC: elle analyse de façon dynamique les fichiers entrant et sortant de l'ordinateur, que ce soit par disquette, courrier ou téléchargement. Elle inspecte aussi tous les exécutables (applications) à leur lancement, afin d'être sûre qu'ils ne déclenchent pas un virus dont ils seraient porteurs. Enfin, si un virus est détecté, l'anti-virus propose en principe de le "nettoyer".

FONCTIONNEMENT D'UN ANTI-VIRUS

Un anti-virus se compose de 3 parties:

1. Le logiciel

2. Le moteur

3. La base des signatures

1. Le logiciel

Le logiciel, c’est l’environnement graphique de l’anti-virus, elle est propre à l’éditeur.

2. Le moteur

Le moteur peut évoluer. C’est le " pont " entre la base des signatures et le logiciels. Le moteur fait tourner l’application, il est dépendant de la version du logiciel.

3. La base des signatures

Signatures électronique, chaînes de caractères, alpha numérique.

LES LIMITES D'UN ANTI-VIRUS

Les limites d’un anti-virus:

- Si on installe après avoir été contaminé par un virus inconnu, l'anti-virus est inefficace contre ce dernier.

- Si un programme arrive avec le virus, celui-ci ne sera pas détecté (si le virus n'est pas connu)

- L'anti-virus va vous détecter la plus part des "cracks" comme des virus (la majorité des cracks modifient les fichiers exécutables et changent donc leur taille).

Il faut savoir que les virus étant des programmes, ils doivent impérativement être chargés en mémoire pour pouvoir fonctionner. Vous pouvez avoir un virus sur votre disque dur, tant qu'il n'a pas accès à la mémoire vive (RAM) il est complètement inoffensif.

TECHNIQUES D'ERADICATION DE VIRUS

Une fois un virus détecté, que ce soit en mémoire ou sur le disque dur, il reste à le supprimer. Une fonction primordiale des Antivirus est donc la suppression des virus. Leur but est de débarrasser l'utilisateur de ce programme malveillant. Mais il n'est pas si simple que l'on croit de les éradiquer et de récupérer le programme original. En effet cela est impossible dans le cas de virus avec recouvrement : ils détruisent une partie du programme sain lors de sa duplication. La seule solution est la destruction des fichiers infectés ou carrément le formatage du disque dur. Pour les autres, même si ce n'est pas irréalisable, la tâche est cependant très ardue : il faut savoir très précisément où est localisé, dans le fichier, le virus en question sachant qu'il peut être composé de plusieurs parties, ensuite il faut le supprimer, et enfin allait chercher la partie du programme dont le virus avait pris la place et la restaurer. Toutes ces manipulations nécessitent une connaissance parfaite du virus et de son mode d'action. Cette éradication se faisant par une recherche (du virus, de la partie déplacée), toutes les caractéristiques des différents virus doivent être répertoriées dans une base de donnée mise à jour.

Voila pour la théorie, maintenant en ce qui concerne la pratique :

- les marchands d'antivirus sont légions et mettent tous en avant des arguments souvent douteux

- l'efficacité d'un antivirus est vraiment dure à mettre en avant, il faut donc bien choisir le sien en essayant de penser à des choses comme le ralentissement du système, la périodicité des mises à jour par le developeur etc etc.

- Pensez à mettre à jour régulièrement votre base de virus meme si il faut bien se dire que comme dans la lutte contre le dopage, les codeurs de virus ont toujours une longueur d'avance sur les developeurs d'antivirus (enfin quand ce ne sont pas les memes personnes).

Voila pour ce qui est de l'antivirus, j'espère que cela aura apporté quelques informations utiles à ceux que ca interesse.

Sur ces bonnes paroles, bonne paranoia virusque à tous et @+

Dje_forever

[titoumimi]

très sympa comme explication.

un gros merci

[Magic-Bernardo]

Lut !

je rajouterais :

éviter les anti-virus qui se disent infaillibles et imparables (comme vous l'a démontré dje_forever, ça n'existe pas)....

[diablo24]

Allez zou, on attaque une encyclopédie....

Merci pour ces explications ca sert a tous ceux qui sont un tantinet soucieux de la sécurité....

[cockalight]

'Lu,

je vois pas quoi rajouter

Tres bon travail.

Félicitation

[billdead]

ca c'est vrai

tester plusieurs shareware avant d'acheter un antivirus...

[Invité Phantom Dust]

Lu dje

J'ai enfin tout lu (quel taff de malade ) et je dois avouer que c'est plutôt pas rassurant

Alors messieurs, sur vos expériences personnelles, quels sont vos anti-virus préférés ?

++

[billdead]

bit defender 8 pro (12e en oem, j'ai pas vu moin chere pour un payant....)

[diablo24]

Avast! et AVG, principalement par leur gratuité...

Je prefere de loin Avast! qui est selon moi un digne concurrent des Mac Afee et autres Norton...En ces temps difficiles, où environs 1 virus par jour est catalogué par Secuser.com, il se met a jour dans la journée suivant l'alerte, donc très très bon suivit de la base, ca fait plaisir...Très light au niveau des ressources, ultra simple a utiliser, avec tout de même les options de base d'un antivirus(scan, protection résidente, scan mail etc...)...

Enfin voila, pour moi Avast! sans hésitation, d'autant plus qu'il est gratuit...

[cockalight]

Avast! et AVG, principalement par leur gratuité...

Je prefere de loin Avast! qui est selon moi un digne concurrent des Mac Afee et autres Norton...En ces temps difficiles, où environs 1 virus par jour est catalogué par Secuser.com, il se met a jour dans la journée suivant l'alerte, donc très très bon suivit de la base, ca fait plaisir...Très light au niveau des ressources, ultra simple a utiliser, avec tout de même les options de base d'un antivirus(scan, protection résidente, scan mail etc...)...

Enfin voila, pour moi Avast! sans hésitation, d'autant plus qu'il est gratuit...

+ 10

oui je sais normalement c'est +1 mais la je suis super d'accord

Avast

[Cap De Xai 66]

Entièrement d'accord pour Avast - même si à une époque, j'ai eu des petits soucis -réparés depuis - avec...

Il concurrence les payants et est très convivial....

[cockalight]

j'aime beaucoup aussi quand une dame te dit :

la base de donnée a été mise a jour

ou

il y a un virus sur votre orinateur

ca fait plaisir de voir que c'est une dame en face de toi, depuis je frappe moins sur mon pc...

non, sans rire, un gros avantage de Avast, en plus d'etre gratuit, il fait des recherches de mises a jour automatiquement toutes les 2 heures je crois

[Osmoze]

la base de donnée a été mise a jour

ou

il y a un virus sur votre orinateur

ca fait plaisir de voir que c'est une dame en face de toi, depuis je frappe moins sur mon pc...(...) il fait des recherches de mises a jour automatiquement toutes les 2 heures je crois

Salut,

Ca c'est relou comme truc Surtout quand t'es sur ou Q3 edit=>pas .... W.OW. :mdr: Bon non rien OK!

-------------------

Bravo, joli travail Dje_forever

Pour ma part c'est AVG freeware également

++

Modifié 25 avril 2005 par Osmoze

[Cap De Xai 66]

C'est vrai que ca surprend , le PC qui te parle quand tu ne t'y attends pas.... :lol:

Mais bon, c'est sympa - ca change des interfaces austères

[newbie90]

excellent travail

a l'heure actuelle le meilleur antivirus etant bitdefender pro 8 (firewall et antispam integrer)

seul inconvenient avec ces ptit joujou c'est qu'il ne sont pas capabable de se defendre contre un pti virus polymorphe en vb par exemple

pour ceux qui ne connaisse pas le polymorphisme est l'art de changer en permanence de lieu donc de dossier et de taille, ainsi il n'y a pas de nombreux antivirus qui les bloque (j'en connais meme pô)

bref tant que de gentil monsieur comme kasperski (oui le celebre editeur d'antivirus)

s'amuserons a creer des merdes dans ce genre, ben c'est pas demain

moi j'ai la solution, le systeme unix (seulement 1% des virus existant)

voila +++