由于恶意软件感染变得越来越普遍，防病毒行业正在不断发展。

但众所周知，多态病毒（重写自己的代码）更难被 AV 检测和删除。

以及许多其他来源解释说：

即使在发现新的签名并将其添加到防病毒解决方案的签名数据库中后，多态病毒仍可以继续更改签名并进行攻击而不被发现。

那么，一般来说，预防多态病毒感染的最佳方法是什么？

是否有特定的协议/方法，或者它与其他病毒相同吗？

1

  • 1
    “那么，一般来说，预防多态病毒感染的最佳方法是什么？”到目前为止，最安全的方法是（或类似方法）。安全性始终是妥协，因此您应该定义您愿意忍受的限制，然后再提出针对此类限制的最佳安全性想法。（例如，如果不连接到网络并禁用 USB 端口对于您的用例是可行的，那么这将大有帮助）


    – 



最佳答案
3

正如引文所指出的，多态恶意软件利用了基于签名的恶意软件检测的局限性。为了解决这个问题，通常还会使用基于行为的检测，即旨在识别软件恶意行为的启发式方法。由于这些启发式方法不需要特定的已知文件存在，因此它们更适合多态恶意软件（和零日漏洞）。例如，它们可以通过机器学习来实现。

然而，防御各种恶意软件的最佳方法是在日常生活中应用基本的安全规则：小心谨慎、保持软件更新、最小化权限以及将系统中可能处理恶意软件的部分（例如浏览器）与关键资源（重要文件等）隔离。

3

  • 嗯，所以，就像所有安全风险一样，特别是多态病毒，首先阻止风险比感染后再处理风险要好。


    – 

  • 6
    @security_paranoid：是的。在 Linux 世界中，AV 软件甚至没有被广泛接受。例如，和的文档都解释了为什么不需要它以及应该采取什么措施来防止恶意软件感染。


    – 

  • 4
    只是指出这个答案得出的结论：很难确切地确定什么是恶意行为。如果一个行为在所有可能的用例中都明显是恶意的，那么操作系统首先就没有理由允许这个行为。这正是病毒赖以生存的根本：能够采取出于善意而存在的行动，但却出于恶意而执行它们。


    – 

反恶意软件大多在事后确认感染后才有效。它们预防感染的效果可以说微乎其微（与其他选项相比），有些人认为它们是负面的，因为它们可以改变用户的态度（你觉得安全，所以你到处点击）。因此，对付多态病毒的最佳防御方法与对付常规病毒的方法相同：

  • 不要执行不受信任的代码（不要点击共享的内容，因为它应该是一段有趣的视频，可以为您带来数百万美元，或拯救您身患癌症的阿姨）
  • 在代码中集成外部库时，请尝试评估要包含的源代码和代码版本的可信度；最好在每次版本更新时在一定程度上重新评估代码
  • 将真正关键的系统与其他网络或任何网络隔离开来
  • 观察您的输入/输出行为并尽可能限制通信（您的机器突然通过不寻常的端口与外部主机通信？）
  • 对人们进行培训以识别社会工程攻击
  • 以尽可能少的权限运行（外部）代码
  • 立即更新安全补丁，等待敏感系统上的功能更新一段时间，以便可能出现新的错误并得到修复

已知的多态病毒仅被检测到。这通常需要对防病毒软件进行代码更新，以处理所涉及的多态引擎。

在基于行为的检测得到 100% 的误报评级后（老兄，停止检测源代码树中的编译器）；我不再真正相信它还能起作用了。

在我删除垃圾邮件几个月后，我的电子邮件文件夹的可用空间中检测到了真正的病毒（它以 zip 文件的形式出现……）。

长话短说，如果你使用 Windows，Microsoft Defender 就可以正常工作。病毒和驱动下载木马会被捕获。

问题不再是检测病毒，而是检测其他类型的恶意软件，而在这方面我几乎没有经验。最新的加密勒索软件需要不同类型的检测引擎和不同类型的行为感知。也许行为检测在这里确实有效。我不太可能亲自发现。

自定义高级木马可以绕过一切。如果它不是勒索软件，也不是传播病毒，那么行为检测将无济于事。SolarWinds 恶意软件在几个月内就绕过了一切。

如今最大的主要问题是恶意广告，而高性能广告拦截器可以消除恶意广告，所以我甚至看不到它。