Ложные срабатывания антивирусов при проверке сайта и программ

09.12.18 ИТ / Безопасность 2989

Иногда требуется проверить сайт на вирусы, для этого многие используют различные средства в этой области. Но зачастую они неэффективны, а могут быть даже и вредными. Как показывает практика, антивирусы могут ложно срабатывать на полностью безопасные скрипты сайта.

Кроме обычных антивирусов, довольно популярным сегодня является сервис для проверки сразу всеми антивирусами – virustotal.com/ru. Им пользуются многие пользователи, часто перед скачиванием какого-либо файла они проверяют его в этом сервисе. Он проверяет ссылки и непосредственно файлы. Обычная ситуация, если какой-либо антивирус этого сервиса все-таки обозначит проверяемый файл небезопасным, хотя остальные антивирусы ничего подозрительно не найдут. Даже одно срабатывание может заставить пользователя отказаться от загрузки или посещения сайта.

Почему антивирус срабатывает ложно? Если с обычным программным обеспечением антивирусы справляются довольно эффективно, то с веб-скриптами возникают проблемы. Антивирус может ложно сработать из-за незначительных подозрений, которые заключаются в нахождении в скрипте определенной последовательности вызова функций. Простой пример, стоит только использовать код вида как ниже, как будет показано срабатывания некоторых антивирусов:

eval(base64_decode('1230'));

Веб-антивирусы особо не разбираются вредный этот код или нет, им достаточно увидеть определенную последовательность данных, как в базе данных сигнатур антивируса. Поэтому если нужно полностью избавиться от ложных срабатываний антивирусов, необходимо переписать код, избавиться от таких конструкций кода в своем проекте и проверять до тех пор, пока срабатывания прекратятся.

Точно сказать вреден или безобиден скрипт в таких случаях сможет только специалист, который расшифрует логику работы скрипта. Антивирусы в сфере веб к сожалению часто отталкивают посетителей от скачивания безопасных файлов из-за того, что они ложно срабатывают. В таком случае лучше проверить файл разными антивирусами – если срабатывание есть только в одном или двух, трёх антивирусах, а остальные показывают его безопасным – скорее всего файл действительно безопасен и можно его загружать. Нужно обратить внимание на то, какие антивирусы показывают выявления, в таком случае большее доверие нужно отдавать популярным антивирусам.

Такая же проблема бывает и с настольными и мобильными программами. Как только антивирусом замечены различные действия программы – он может посчитать ее вредоносной. Например, программа активно передает данные через сеть, имеет доступ к данным на диске и т.д. В таком случае можно попробовать подписать программу подписью проверенного издателя, но это довольно затратно и не все разработчики могут себе это позволить.

Таким образом, могут быть ложные срабатывания антивирусов, особенно при проверке веб-файлов и скриптов. Поэтому, если есть сомнения, но файл нужно скачать и запустить на своем хостинге или ПК – лучше отправить его на проверку знакомому IT-специалисту, а не отказываться от полезных разработок из-за одного срабатывания неизвестного или малоизвестного антивируса.