Antivirus:falsos positivos

En las opiniones de prácticamente cualquier programa se puede leer alguna acusación de que ese programa está infectado por este u otro virus, aunque la realidad suele ser bien distinta.

Puesto que nadie nace sabiendo y, además, muchas veces el antivirus no hace mucho por tratar de enseñarnos, usando terminología técnica que nadie tiene por qué conocer, vamos a ver algunas causas para que los antivirus marquen un programa limpio como infectado: los llamados falsos positivos.

Se denomina falso positivo al hecho de que un antivirus detecte erróneamente un archivo limpio como portador de virus. Generalmente la identificación no es exacta, es decir, el antivirus no dice “he encontrado el virus W32.ALGO” sino “he encontrado una variante de W32.ALGO”. Con la cantidad de variaciones que poseen los virus actuales, los antivirus se ven obligados a tratar de anticiparse a estas mutaciones con, podríamos llamarlo así, especulaciones.

Además, aunque no se tratan de falsos positivos, algunos antivirus incorporan la detección de todo tipo de elementos que consideran malware, software prescindible, software no deseado, software potencialmente dañino… Tiene muchos nombres. Es cierto que en ocasiones puede serlo, pero en otras se trata de un programa completamente legítimo que, simplemente, puede ser utilizado a su vez con fines oscuros.

Es el caso de…

• Dialers / Marcadores. Se trata de programas que utilizan el módem del ordenador para realizar llamadas telefónicas y, la mayoría de las veces, establecer una conexión a Internet con ellos. Hoy en día apenas se usan, por lo que muchos antivirus detectan este tipo de programas y muestran avisos al respecto.
• Descargadores. Son los gestores de descarga, programas que mejoran la función de bajar archivos del navegador. Algunos antivirus pueden decir que se tratan de una amenaza, sobre todo si se tratan de programas muy poco conocidos.
• Servidores FTP / Proxy / IRC / WEB / Telnet. A la mayoría de antivirus no les gusta que se instalen servidores o clientes de IRC en tu ordenador, ya que es el mecanismo utilizado por troyanos para llamar a casa. Si estás instalando uno de estos programas conscientemente, no tienes de qué preocuparte.
• Keylogger / Monitor. Programas que guardan un registro de lo que sucede en el ordenador: teclas pulsadas, páginas visitadas, conversaciones de chat. Aunque se trate de una aplicación comercial que quieras instalar (la razón es cosa tuya) tendrás que librar una batalla con tu antivirus para que lo permita.
• Recuperación de contraseñas. Programas para recuperar contraseñas perdidas.
• Administración Remota. Programas para permitir que otras personas conecten remotamente a tu equipo y puedan ver la pantalla, mover el puntero, transferir archivos…
• Herramientas. Diversas herramientas comúnmente utilizadas por hackers, aunque pueden ser utilizadas también para administración de redes, diagnóstico de errores, etc.
• Cracks. Programas para eliminar la protección de otro programa.
• Bromas. Bromas, por ejemplo errores falsos.
• Programas P2P. A algunos antivirus no les gustan los programas de descarga de archivos P2P.

Así pues, cuando tu antivirus te muestre que ha detectado una amenaza, debes fijarte en lo que te está diciendo. ¿Te está diciendo que el programa Remote Administrator que has bajado es un virus… o que es una aplicación potencialmente dañina?

El problema radica en que cada antivirus utiliza su nomenclatura, y en que esta es casi siempre en inglés. Veamos algunos de los prefijos que incluirá tu antivirus al nombre de la amenaza para referirse a este tipo de aplicaciones.

• Not-a-Virus. Su propio nombre lo indica. El archivo “no es un virus”, sino una aplicación que puede ser dañina si no la has instalado tú.
• Suspicious File. El archivo tiene algo sospechoso, pero no encaja con ninguno de los virus de la lista.
• Potentially Unwanted, Unwanted. Aplicaciones que en general podrías no querer en tu sistema.
• DoS, Exploit, HackTool, Email-Flooder, Flooder, Constructor, Nuker. Distintas herramientas de hacking.
• Hoax, Joke. Bromas que simulan errores, virus, etc.
• RAdmin, RemoteAdmin, Backdoor. Programas de administración remota.
• WTool, PSWTool. Recuperación de contraseñas
• Adware. Incorpora publicidad. Pero antes de arrojar este programa a la basura, piensa que la inclusión de barras de herramientas opcionales es muy común hoy en día. Tan sólo debes comprobar si la instalación de estos elementos de publicidad es obligatoria o no.

¿Qué hacer si dudas de si un programa está realmente infectado o no? Una buena opción es pedir una segunda opinión… o mejor, más de 30 opiniones más. Lo puedes conseguir enviando el archivo a VirusTotal.com o Virusscan.jotti.org, páginas que analizan con multitud de antivirus distintos la muestra, indicándote el resultado.

Y si sigues sin estar convencido… mejor no lo ejecutes

Fuente:Ivan Ramirez