VR9: F-PROT
Por Aldo B. Castelar
En este numero analizamos un antivirus relativamente nuevo para el mercado local, pero con una calidad que le permite competir con los mejores.
El F-Prot es un anti virus basado en la búsqueda de virus conocidos, al igual que el Scan o el Dr. Solomon Toolkit. No tiene módulos de chequeo de integridad en su versión shareware. El método en el que se basa para la detección es el de búsqueda de strings, o sea, busca trozos característicos de los virus conocidos en memoria o en los archivos. La principal diferencia del F-Prot y otros antivirus como el Scan está en su confiabilidad, ya que difícilmente presente falsas alarmas. Esto se debe a que hace un chequeo exaustivo sobre el archivo antes de determinar la existencia de un virus o no. El F-Prot permite, por lo tanto, no solo detectar la presencia de un virus conocido en un archivo, sino que permite reconocer exactamente de que virus se trata. Esto es imposible si se usa el Scan, ya que el Scan a veces no diferencia entre variantes del mismo virus, aún variantes tan diferentes entre sí como el Stoned y el Michelangelo. También se diferencia de otros programas que tienen un alto grado de confiabilidad en que es capaz de reconocer virus modificados. Por ejemplo, un virus generado con el VCL se modifica muy fácil como para que el Scan deje de detectarlo, pero hacen falta muchas modificaciones para que el F-Prot no lo reconozca. También tiene un método heurístico de búsqueda, que permite encontrar virus desconocidos.
F-Prot es un producto de Frisk Software International, una compañía de origen Islandés, y su autor es Fridrik Skulason. Skulason es un experto en virus de fama internacional, miembro de CARO y autor de muchos trabajos sobre el tema.
Funcionamiento
Cuando se ejecuta el módulo de búsqueda de virus, el f- prot.exe, éste se chequea a si mismo y luego empieza a buscar en memoria virus conocidos. Si existe alguno, avisa e indica al usuario que debe resetear la máquina y cargar un sistema operativo limpio para seguir. Si todo está bien, nos presenta el menú principal del programa. Aquí tenemos cinco opciones.
La primera de ellas es Scan, y es precisamente la búsqueda de virus en el disco. Dentro de esta opción tenemos un menú de otras seis opciones. La opción principal es Begin Scan, con la cual se comienza a buscar virus en el disco rígido. Luego podemos elegir el método de búsqueda, entre búsqueda segura, rápida y el método heurístico. La búsqueda segura es la que ya nombramos, e identifica con precisión cada virus y variante. Cuando encuentra un virus puede removerlo. El método rápido nos permite buscar rápidamente variantes de virus, pero no es tan seguro y no nos permite la remoción del virus, previendo el caso de que se trate de una falsa alarma. El método heurístico utiliza un pequeño sistema experto para detectar la posibilidad de la existencia de un virus desconocido en un archivo. El programa nos advierte de la posibilidad de que se produzcan falsas alarmas usando este método, por lo cual debemos tomar con mucho cuidado lo que nos reporta, y lo mejor es consultar a algún entendido del tema para verificar si se trata de un virus verdadero o una falsa alarma. El algoritmo heurístico busca trozos de código en los programas que puedan ser característicos de un virus, como por ejemplo programas auto modificantes, o comportamientos propios de virus. Como hacer un análisis de lo que puede hacer un programa (en forma automática y sin ejecutarlo) es algo extremadamente difícil, esto no solo puede dar muchas falsas alarmas (falsos positivos) sino puede no detectar muchos virus desconocidos (falsos negativos). Después de estas opciones de tipo de búsqueda, podemos elegir donde buscar los virus. Nuestras opciones son: disco rígido, diskettera, a través de una red, o un directorio, disco o archivo especificado por el usuario. Luego tenemos las opciones de la acción que tomará el programa cuando encuentra un virus. Puede ser simplemente reportarlo, desinfectar el archivo o el disco, borrar el archivo infectado, o renombrarlo a una extensión no ejecutable, para que no se infecten más archivos accidentalmente. Las opciones de desinfectar, borrar o renombrar pueden ser automáticas o el programa puede preguntarle al usuario cada vez que detecta un virus la acción a tomar.
Podemos definir el tipo de virus que el programa va a buscar, si busca virus de boot, de archivo, si busca virus definidos por el usuario, y si busca en el interior de archivos comprimidos. Luego tenemos la opción de definir sobre que archivos va a buscar, si sobre los ejecutables comunes (*.APP *.COM *.EXE *.OV? *.PGM *.SYS), sobre todos los archivos, o sobre una serie de extensiones definidas por el usuario.
Otras opciones
Además de la opción de instalar el programa en el disco y de actualizar el autoexec.bat para que incluya el módulo residente, tenemos un par de opciones más que son informativas. La primera es sobre los virus. Con esta opción tenemos acceso a una amplia base de datos sobre virus, que nos informa el nombre y alias del virus, su país de origen, su tamaño (en los casos en que esto es aplicable), el tipo de virus que es y si es posible su reparación usando F-prot.
Junto con la base de datos sobre virus existentes, tenemos la opción de definir nuevos virus para que el programa lo detecte. Utilizando esta opción se pueden actualizar el programa con los virus nuevos hasta que aparezca una versión nueva que los detecte por si misma. Siguiendo con la información, tenemos un menú que nos presenta información sobre el programa, la cantidad de virus que detecta, quien es el autor, cuanto cuesta registrarse y cómo conseguir las nuevas versiones. Es interesante destacar que Skulason explica que no se puede decir realmente la cantidad de virus que detecta el programa, ya que existen tres definiciones distintas sobre cómo se puede considerar un virus diferente del otro. Cada autor de anti virus utiliza la que le da mas virus a ellos y menos a los demás, y él prefiere dejar la pregunta sin responder.
Residente
El módulo residente del programa es muy sencillo. Lo que hace es esperar a que se intente ejecutar algún programa, y cuando se ejecute chequea si está infectado. El problema que tiene este programa es que no busca todos los virus que reconoce el módulo no residente. Esto se debe a que le tomaría demasiado tiempo verificar algunos virus como ser los polimórficos, y la máquina se haría demasiado lenta.
Además de chequear los programas cuando se ejecutan, tiene una serie de opciones que permiten aumentar el grado de protección. Esas opciones son copy, boot y warm. Copy chequea cada archivo que se copia o accede, para verificar si tienen virus. Boot verifica el sector de booteo de los diskettes que se utilizan en la máquina, y avisa de la presencia de un virus de boot. Y warm intercepta el funcionamiento de la secuencia de teclas control alt del, y verifica si hay un diskette infectado en la disketera A antes de bootear.
Conclusiones
F-Prot es considerado por muchos como el mejor antivirus del mercado en este momento. Incluso Aristotle, el sysop del BBS de virus Black Axis, reconoce que este programa es el que más virus detecta de su colección, la cual es considerada una de las mayores del mundo. Tambien algunos autores de virus están desarrollando técnicas para engañar el análisis heurístico, lo cual indica que es bastante bueno. Por el precio (gratis para el usuario individual y no comercial) y sus excelentes prestaciones, es realmente una muy buena opción para cualquiera.
