Лжеантиви́рус (или псевдоантивирус ) — компьютерная программа , которая имитирует удаление вредоносного программного обеспечения или сначала заражает, потом удаляет . К концу 2000-х годов значимость лжеантивирусов как угрозы персональным компьютерам повысилась , понизившись в июне 2011 года . В первую очередь появление лжеантивирусов связано с тем, что в США частично взяли под контроль индустрию spyware и adware , а UAC и антивирусы оставляют всё меньше шансов ПО, проникающему без ведома пользователя. Во-вторых, полноценных антивирусных программ стало настолько много, что сложно запомнить их все. Так, VirusTotal на 17 января 2021 года располагает 70 антивирусами .

Описание и метод действия

Лжеантивирусы относятся к категории троянских программ , то есть пользователь сам проводит их через системы безопасности ОС и антивирусов. В отличие от « нигерийских писем » (которые играют на алчности и сострадании ), фишинга и ложных лотерейных выигрышей, лжеантивирусы играют на страхе заражения системы . Встречаясь чаще всего под видом всплывающих окон веб-браузера , они якобы сканируют операционную систему пользователя и тут же выявляют в ней вирусы и другие вредоносные программы . Для наибольшей достоверности этот процесс также может сопровождаться внедрением одной или нескольких программ такого типа в систему путём обхода конфигурации , особенно если компьютер обладает минимальной и легкообходимой защитой. В итоге компьютер-жертва начинает выдавать сообщения о невозможности продолжения работы ввиду заражения, а лжеантивирус — упорно предлагать купить услугу или же разблокировать её, введя данные кредитной карты .

Самые первые лжеантивирусы возникли с развитием интернета и представляли собой лишь окна, имитирующие ОС (чаще всего — проводник Windows и рабочий стол интерфейса Windows XP ) с присущими звуками при загрузке и нажатии кнопок. Такие окна легко убирались блокировщиками рекламы, например, Adblock Plus . Во второй половине 2000-х годов лжеантивирусы превратились в полноценные программы и стали выдавать себя за настоящие антивирусы при помощи использования агрессивной рекламы , ложных пользовательских отзывов или даже «отравления» поисковых результатов при вводе ключевых слов (в том числе по темам, не связанным с компьютерной безопасностью) . Такие программы задумывались с названиями, похожими на названия настоящих антивирусов (например, Security Essentials 2010 вместо « Microsoft Security Essentials » или AntiVirus XP 2008 вместо « Norton AntiVirus ») и работали по принципу прямого отправления денег распространителям — партнёрским сетям за каждую удачную инсталляцию .

Статистика

В конце 2008 года обнаружено, что партнёрская сеть, распространявшая Antivirus XP 2008 , получила за свою работу около 150 тыс. $ . В 2010 году Google пришёл к заключению, что половина вредоносного ПО, проникающего через рекламу, — лжеантивирусы . В 2011 тот же Google исключил из поиска домен co.cc , дешёвый хостинг , на которых размещались в том числе и распространители псевдоантивирусов.

Выгода для распространителя

Распространитель может получать прибыль от лжеантивируса разными путями.

• Обычное для вредоносной программы поведение: кража аккаунтов , блокировка ОС , эксплуатация вычислительной мощи компьютера и т. п.
• Программа может в « демонстрационном режиме » имитировать обнаружение вирусов и выдавать предупреждения о том, что ОС не защищена, а для исправления попросить зарегистрировать . Чтобы была видимость заражения, лжеантивирус может устанавливать настоящие вирусы, а затем находить их, искусственно дестабилизировать ОС, изменяя критические настройки, и даже имитировать «синие экраны» .
• Лжеантивирус может просить деньги на псевдоблаготворительность .
• Антивирусная программа может быть самая настоящая (обычно основанная на ClamAV ), однако её цена, как правило, выше, чем цены на аналоги. Продают лицензию обычно поквартально — чтобы сравнить цены, приходится вчитываться в условия и подключать арифметику.

Простейшие признаки лжеантивируса

Сайт-распространитель

• Лечение или демонстрация через веб . Веб-браузеры устроены так, чтобы сайт вообще не имел доступа к лежащим на компьютере файлам. Потому лечение через веб невозможно, а службы антивирусной проверки наподобие VirusTotal не сканируют дисков, а требуют явной отправки подозрительного файла на проверку. А эффективность антивируса никак не коррелирует с красотой интерфейса.
• Большое количество несуществующих наград .
• Настоящий антивирус не может гарантировать «стопроцентное излечение». Вирус должен попасться «в диком виде», кто-то из интернет-активистов отсылает его антивирусным специалистам, те исследуют его — и только после этого вирус попадает в базу. На это нужно время.
• «Крючки» в лицензионном соглашении: либо это «развлекательная программа», либо оплата идёт за «техподдержку ClamAV » .
• Оплата через SMS . Легальные антивирусы предпочитают платёжные системы и банковские карты .

Программа

• Маленький размер инсталлятора или нет фазы инсталляции . У любого антивируса есть большая вирусная база: Dr. Web CureIt занимает более 200 мегабайт, аналогичная версия антивируса Касперского — около 150. У некоторых антивирусов (например, Avast ) бывает миниатюрный интернет-инсталлятор, но тогда все эти мегабайты будут скачаны из интернета во время установки.
• Опознаётся другими антивирусами .
• Срабатывает на «чистой» ОС, установленной с нуля , обнаруживает не характерные для данной ОС вирусы (вирус, распространяющийся в Windows, выявляется для Linux ). Но: пиратские версии ОС наверняка содержат взломщик, и нередко — зловреды в придачу.
• Окно UAC жёлтое (неподписанная программа), или синее, но владелец неверный (утёкший ключ). Написание антивируса — дело сложное и дорогое, и разработчики антивируса могут позволить себе сертификат для программ — в отличие от мелкого ПО, чьи разработчики ищут, как дёшево сделать окно UAC синим.
• Если вы единственный администратор компьютера — программа, которую вы не устанавливали. Впрочем, утилиты поменьше, связанные с производительностью и безопасностью — например, утилиты для чистки реестра — иногда распространяются «в придачу».
• Уже простейшая функциональность платная, без всяких испытательных периодов и бесплатных версий . Деньги просят за дополнительные функции: брандмауэр, резидентный монитор, оперативное обновление и т. д. И уж никакой антивирус не требует денег за устранение угрозы.
• Навязчивые сообщения о том, что компьютер уязвим или нужно купить программу — а чаще всего то и другое одновременно .
• Могут отсутствовать простейшие функции, присущие любой уважающей себя резидентной программе: временно остановить антивирус, деинсталлировать программу стандартными средствами ОС . Может не быть и других настроек, присущих настоящему антивирусу ( прокси-серверы , списки исключений) .

Примечания

Ссылки

• Howes, Eric L (2007-05-04), , Дата обращения: 2 мая 2009
• , Дата обращения: 24 апреля 2012