Лже́антиви́рус (псе́вдоантиви́рус, FakeAV) — компьютерная программа, которая имитирует удаление вредоносного программного обеспечения или сначала заражает, потом удаляет. К концу 2000-х годов значимость лжеантивирусов как угрозы персональным компьютерам повысилась, понизившись в июне 2011 года. В первую очередь появление лжеантивирусов связано с тем, что в США частично взяли под контроль индустрию spyware и adware, а UAC и антивирусы оставляют всё меньше шансов ПО, проникающему без ведома пользователя. Во-вторых, полноценных антивирусных программ стало настолько много, что сложно запомнить их все. Так, VirusTotal на 17 января 2021 года располагает 70 антивирусамиРезультат сканирования opensource-хука клавиатуры, который был замечен в кейлогере..

Описание и метод действия Лжеантивирусы относятся к категории троянских программ, то есть пользователь сам проводит их через системы безопасности ОС и антивирусов. В отличие от «нигерийских писем» (которые играют на алчности и сострадании), фишинга и ложных лотерейных выигрышей, лжеантивирусы играют на страхе заражения системы. Встречаясь чаще всего под видом всплывающих окон веб-браузера, они якобы сканируют операционную систему пользователя и тут же выявляют в ней вирусы и другие вредоносные программы, чаще всего в больших количествах, чтобы вызвать панику у пользователя. Для наибольшей достоверности этот процесс также может сопровождаться внедрением одной или нескольких программ такого типа в систему путём обхода конфигурации, особенно если компьютер обладает минимальной и легкообходимой защитой. В итоге компьютер-жертва начинает выдавать сообщения о невозможности продолжения работы ввиду заражения, а лжеантивирус — упорно предлагать купить услугу или же разблокировать её, введя данные кредитной карты.

Самые первые лжеантивирусы возникли с развитием интернета и представляли собой лишь окна, имитирующие ОС (чаще всего — проводник Windows и рабочий стол интерфейса Windows XP) с присущими звуками при загрузке и нажатии кнопок. Такие окна легко убирались блокировщиками рекламы, например, Adblock Plus. Во второй половине 2000-х годов лжеантивирусы превратились в полноценные программы и стали выдавать себя за настоящие антивирусы при помощи использования агрессивной рекламы, ложных пользовательских отзывов или даже «отравления» поисковых результатов при вводе ключевых слов (в том числе по темам, не связанным с компьютерной безопасностью) . Такие программы задумывались с названиями, похожими на названия настоящих антивирусов (например, Security Essentials 2010 вместо «Microsoft Security Essentials» или AntiVirus XP 2008 вместо «Norton AntiVirus») и работали по принципу прямого отправления денег распространителям — партнёрским сетям за каждую удачную инсталляцию.

Статистика В конце 2008 года обнаружено, что партнёрская сеть, распространявшая Antivirus XP 2008, получила за свою работу около 150 тыс. $ . В 2010 году Google пришёл к заключению, что половина вредоносного ПО, проникающего через рекламу, — лжеантивирусы. В 2011 тот же Google исключил из поиска домен co.cc, дешёвый хостинг, на которых размещались в том числе и распространители псевдоантивирусов.

Выгода для распространителя Распространитель может получать прибыль от лжеантивируса разными путями. Обычное для вредоносной программы поведение: кража аккаунтов, блокировка ОС, эксплуатация вычислительной мощи компьютера и т. п. Программа может в «демонстрационном режиме» имитировать обнаружение вирусов и выдавать предупреждения о том, что ОС не защищена, а для исправления попросить зарегистрировать . Чтобы была видимость заражения, лжеантивирус может устанавливать настоящие вирусы, а затем находить их, искусственно дестабилизировать ОС, изменяя критические настройки, и даже имитировать «синие экраны». Лжеантивирус может просить деньги на псевдоблаготворительность. Антивирусная программа может быть самая настоящая (обычно основанная на ClamAV), однако её цена, как правило, выше, чем цены на аналоги. Продают лицензию обычно поквартально — чтобы сравнить цены, приходится вчитываться в условия и подключать арифметику.

Простейшие признаки лжеантивируса

Сайт-распространитель Лечение или демонстрация через веб. Веб-браузеры устроены так, чтобы сайт вообще не имел доступа к лежащим на компьютере файлам. Потому лечение через веб невозможно, а службы антивирусной проверки наподобие VirusTotal не сканируют дисков, а требуют явной отправки подозрительного файла на проверку. А эффективность антивируса никак не коррелирует с красотой интерфейса. Большое количество несуществующих наград. Настоящий антивирус не может гарантировать «стопроцентное излечение». Вирус должен попасться «в диком виде», кто-то из интернет-активистов отсылает его антивирусным специалистам, те исследуют его — и только после этого вирус попадает в базу. На это нужно время. «Крючки» в лицензионном соглашении: либо это «развлекательная программа», либо оплата идёт за «техподдержку ClamAV». Оплата через SMS. Легальные антивирусы предпочитают платёжные системы и банковские карты.

Программа Маленький размер инсталлятора или нет фазы инсталляции. У любого антивируса есть большая вирусная база: Dr. Web CureIt занимает более 200 мегабайт, аналогичная версия антивируса Касперского — около 150. У некоторых антивирусов (например, Avast) бывает миниатюрный интернет-инсталлятор, но тогда все эти мегабайты будут скачаны из интернета во время установки. Опознаётся другими антивирусами. Срабатывает на «чистой» ОС, установленной с нуля, обнаруживает не характерные для данной ОС вирусы (вирус, распространяющийся в Windows, выявляется для Linux). Но: пиратские версии ОС наверняка содержат взломщик, и нередко — зловреды в придачу. Окно UAC жёлтое (неподписанная программа), или синее, но владелец неверный (утёкший ключ). Написание антивируса — дело сложное и дорогое, и разработчики антивируса могут позволить собственный сертификат для программ — в отличие от мелкого ПО, чьи разработчики ищут, как дёшево сделать окно UAC синим. Если вы единственный администратор компьютера — программа, которую вы не устанавливали. Впрочем, утилиты поменьше, связанные с производительностью и безопасностью — например, утилиты для чистки реестра — иногда распространяются «в придачу». Уже простейшая функциональность платная, без всяких испытательных периодов и бесплатных версий. Деньги просят за дополнительные функции: брандмауэр, резидентный монитор, оперативное обновление и т. д. И уж никакой антивирус не требует денег за устранение угрозы. Навязчивые сообщения о том, что компьютер уязвим или нужно купить программу — а чаще всего то и другое одновременно. Могут отсутствовать простейшие функции, присущие любой уважающей себя резидентной программе: временно остановить антивирус, деинсталлировать программу стандартными средствами ОС. Может не быть и других настроек, присущих настоящему антивирусу (прокси-серверы, списки исключений).

Примечания

Ссылки

Категория:Вредоносное программное обеспечение Категория:Антивирусы Категория:Сетевое мошенничество