En este numero analizamos un antivirus relativamente nuevo para el
mercado local, pero con una calidad que le permite competir con los
mejores.
El F-Prot es un anti virus basado en la búsqueda de virus conocidos, al
igual que el Scan o el Dr. Solomon Toolkit. No tiene módulos de chequeo
de integridad en su versión shareware. El método en el que se basa para
la detección es el de búsqueda de strings, o sea, busca trozos
característicos de los virus conocidos en memoria o en los archivos. La
principal diferencia del F-Prot y otros antivirus como el Scan está en
su confiabilidad, ya que difícilmente presente falsas alarmas. Esto se
debe a que hace un chequeo exaustivo sobre el archivo antes de
determinar la existencia de un virus o no. El F-Prot permite, por lo
tanto, no solo detectar la presencia de un virus conocido en un archivo,
sino que permite reconocer exactamente de que virus se trata. Esto es
imposible si se usa el Scan, ya que el Scan a veces no diferencia entre
variantes del mismo virus, aún variantes tan diferentes entre sí como el
Stoned y el Michelangelo. También se diferencia de otros programas que
tienen un alto grado de confiabilidad en que es capaz de reconocer virus
modificados. Por ejemplo, un virus generado con el VCL se modifica muy
fácil como para que el Scan deje de detectarlo, pero hacen falta muchas
modificaciones para que el F-Prot no lo reconozca. También tiene un
método heurístico de búsqueda, que permite encontrar virus desconocidos.
F-Prot es un producto de Frisk Software International, una compañía de
origen Islandés, y su autor es Fridrik Skulason. Skulason es un experto
en virus de fama internacional, miembro de CARO y autor de muchos
trabajos sobre el tema.
Funcionamiento
Cuando se ejecuta el módulo de búsqueda de virus, el f- prot.exe, éste
se chequea a si mismo y luego empieza a buscar en memoria virus
conocidos. Si existe alguno, avisa e indica al usuario que debe resetear
la máquina y cargar un sistema operativo limpio para seguir. Si todo
está bien, nos presenta el menú principal del programa. Aquí tenemos
cinco opciones.
La primera de ellas es Scan, y es precisamente la búsqueda de virus en
el disco. Dentro de esta opción tenemos un menú de otras seis opciones.
La opción principal es Begin Scan, con la cual se comienza a buscar
virus en el disco rígido. Luego podemos elegir el método de búsqueda,
entre búsqueda segura, rápida y el método heurístico. La búsqueda segura
es la que ya nombramos, e identifica con precisión cada virus y
variante. Cuando encuentra un virus puede removerlo. El método rápido
nos permite buscar rápidamente variantes de virus, pero no es tan seguro
y no nos permite la remoción del virus, previendo el caso de que se
trate de una falsa alarma. El método heurístico utiliza un pequeño
sistema experto para detectar la posibilidad de la existencia de un
virus desconocido en un archivo. El programa nos advierte de la
posibilidad de que se produzcan falsas alarmas usando este método, por
lo cual debemos tomar con mucho cuidado lo que nos reporta, y lo mejor
es consultar a algún entendido del tema para verificar si se trata de un
virus verdadero o una falsa alarma. El algoritmo heurístico busca trozos
de código en los programas que puedan ser característicos de un virus,
como por ejemplo programas auto modificantes, o comportamientos propios
de virus. Como hacer un análisis de lo que puede hacer un programa (en
forma automática y sin ejecutarlo) es algo extremadamente difícil, esto
no solo puede dar muchas falsas alarmas (falsos positivos) sino puede no
detectar muchos virus desconocidos (falsos negativos). Después de estas
opciones de tipo de búsqueda, podemos elegir donde buscar los virus.
Nuestras opciones son: disco rígido, diskettera, a través de una red, o
un directorio, disco o archivo especificado por el usuario. Luego
tenemos las opciones de la acción que tomará el programa cuando
encuentra un virus. Puede ser simplemente reportarlo, desinfectar el
archivo o el disco, borrar el archivo infectado, o renombrarlo a una
extensión no ejecutable, para que no se infecten más archivos
accidentalmente. Las opciones de desinfectar, borrar o renombrar pueden
ser automáticas o el programa puede preguntarle al usuario cada vez que
detecta un virus la acción a tomar.
Podemos definir el tipo de virus que el programa va a buscar, si busca
virus de boot, de archivo, si busca virus definidos por el usuario, y si
busca en el interior de archivos comprimidos. Luego tenemos la opción de
definir sobre que archivos va a buscar, si sobre los ejecutables comunes
(*.APP *.COM *.EXE *.OV? *.PGM *.SYS), sobre todos los archivos, o sobre
una serie de extensiones definidas por el usuario.
Otras opciones
Además de la opción de instalar el programa en el disco y de actualizar
el autoexec.bat para que incluya el módulo residente, tenemos un par de
opciones más que son informativas. La primera es sobre los virus. Con
esta opción tenemos acceso a una amplia base de datos sobre virus, que
nos informa el nombre y alias del virus, su país de origen, su tamaño
(en los casos en que esto es aplicable), el tipo de virus que es y si es
posible su reparación usando F-prot.
Junto con la base de datos sobre virus existentes, tenemos la opción de
definir nuevos virus para que el programa lo detecte. Utilizando esta
opción se pueden actualizar el programa con los virus nuevos hasta que
aparezca una versión nueva que los detecte por si misma. Siguiendo con
la información, tenemos un menú que nos presenta información sobre el
programa, la cantidad de virus que detecta, quien es el autor, cuanto
cuesta registrarse y cómo conseguir las nuevas versiones. Es interesante
destacar que Skulason explica que no se puede decir realmente la
cantidad de virus que detecta el programa, ya que existen tres
definiciones distintas sobre cómo se puede considerar un virus diferente
del otro. Cada autor de anti virus utiliza la que le da mas virus a
ellos y menos a los demás, y él prefiere dejar la pregunta sin
responder.
Residente
El módulo residente del programa es muy sencillo. Lo que hace es esperar
a que se intente ejecutar algún programa, y cuando se ejecute chequea si
está infectado. El problema que tiene este programa es que no busca
todos los virus que reconoce el módulo no residente. Esto se debe a que
le tomaría demasiado tiempo verificar algunos virus como ser los
polimórficos, y la máquina se haría demasiado lenta.
Además de chequear los programas cuando se ejecutan, tiene una serie de
opciones que permiten aumentar el grado de protección. Esas opciones son
copy, boot y warm. Copy chequea cada archivo que se copia o accede, para
verificar si tienen virus. Boot verifica el sector de booteo de los
diskettes que se utilizan en la máquina, y avisa de la presencia de un
virus de boot. Y warm intercepta el funcionamiento de la secuencia de
teclas control alt del, y verifica si hay un diskette infectado en la
disketera A antes de bootear.
Conclusiones
F-Prot es considerado por muchos como el mejor antivirus del mercado en
este momento. Incluso Aristotle, el sysop del BBS de virus Black Axis,
reconoce que este programa es el que más virus detecta de su colección,
la cual es considerada una de las mayores del mundo. Tambien algunos
autores de virus están desarrollando técnicas para engañar el análisis
heurístico, lo cual indica que es bastante bueno. Por el precio (gratis
para el usuario individual y no comercial) y sus excelentes
prestaciones, es realmente una muy buena opción para cualquiera.
