Xác định tập tin lạ có nguy hiểm hay không

Thuật ngữ chỉ việc đánh giá sai này gọi là "False Positive" (xác định nhầm). Xác định, phát hiện hoặc cảnh báo nhầm xảy ra khi các chương trình diệt virus phát hiện ra một chuỗi bị coi là virus nhưng trên thực tế, tập tin chứa nó không gây hại.

Tuy tập tin như vậy không hề gây hại bằng một loại virus nhưng trong cấu trúc của nó lại chứa một chuỗi tương tự với chuỗi của một virus thực sự!

Các phần mềm diệt virus vẫn có thể nhầm lẫn, ngay cả Kaspersky, phần mềm tốt nhất cũng vậy. Do đó chính HI (Human Interlligence- trí tuệ con người) mới là... công cụ tốt nhất để xác định xem liệu đó có phải là virus hay không. Một số bước sau đây sẽ giúp bạn làm được điều đó.

Đầu tiên, bạn cần chuyển chế độ xem các tập tin đáng nghi ngờ bằng cách cấu hình lại trong Windows. Vào Control Panel > Folder Options, chuyển sang tab View và chọn vào các gợi ý:

 

1. Chọn: Show hidden file and folders (Xem các tập tin và thư mục ẩn)

2. Không chọn Hide extensions for known file types (Ẩn các thông tin mở rộng về tập tin để biết kiểu tập tin)

3. Không chọn Hide protected operating system files( Ẩn các tập tin hệ thống được bảo vệ)

Lựa chọn 1 và 3 có thể giúp ta xem bất kì tập tin hoặc thư mục ẩn nào bởi lẽ, nhiều loại virus thường được các tin tặc đặt chế độ hiển thị "khôn ngoan" ẩn mình. Lựa chọn 2 cũng rất quan trọng bởi lẽ, đa phần các virus thường giả lập 2 định dạnh tập tin để đánh lừa người dùng, chẳng hạn mypassword.txt.exe. Nếu bạn để chế độ ẩn định dạng tập tin thì tập tin này sẽ chỉ hiển thị là mypassword.txt trong khi định dạng thật là một tập tin thực thi (exe), chứ không phải tập tin txt. Vì tính chất quan trọng này, bạn hãy luôn lưu ý cấu hình chọn hiển thị tập tin khi thẩm định.

Tiếp theo, hãy tránh bị gây hại bằng virus autorun.inf. Rất nhiều các virus thực sự nguy hiểm lan tràn thông qua ổ đĩa flash USB với virus này. Khi USB của bạn bị nhiễm virus, chỉ cần cắm vào máy tính, click đúp vào tên ổ đĩa trong My Computer, lập tức Windows sẽ cho phép tập tin virus.inf thực thi và lúc đó virus sẽ gây hại cho máy tính của bạn. Để tránh bị virus tự động phá hoại này, hã tắt chức năng Autorun trong Windows.

Làm thế nào để xác định được liệu một tập tin có phải là virus hay không, khi chúng được tải ở một địa chỉ xa lạ hay công cộng, hoặc sao chép từ ổ đĩa USB, hoặc được đính kèm từ email...

Nếu đã có phần mềm diệt virus được cài đặt trước, đầu tiên, bạn hãy quét tập tin đó bằng chương trình. Nếu không có chuyện gì xảy ra, bạn vẫn còn lấn cấn về nó, hãy tải tập tin nghi ngờ đó lên trang VirusTotal, khi trang này có tới 36 loại chương trình diệt virus hỗ trợ. Rõ ràng, nếu tất cả 36 chương trình này phát hiện ra tập tin đó là chứa yếu tố nguy hại, thì bạn có thể kết luận đây thực sự là một tập tin nguy hiểm. Nếu như chỉ có 10 trong số đó coi là virus thì có lẽ bạn cần phải phân tích tập tin này với ThreatExpert. Ta giả sử ở đây có tập tin RemoveWGA.exe

File RemoveWGA.exe received on 08.30.2008 06:39:17 (CET)
Antivirus	Version	Last Update	Result
AhnLab-V3	2008.8.29.0	2008.08.29	Win-Trojan/Muldrop.49664
AntiVir	7.8.1.23	2008.08.29	-
Authentium	5.1.0.4	2008.08.29	-
Avast	4.8.1195.0	2008.08.29	-
AVG	8.0.0.161	2008.08.29	Downloader.Generic7.ADMP
BitDefender	7.2	2008.08.30	-
CAT-QuickHeal	9.50	2008.08.29	-
ClamAV	0.93.1	2008.08.30	PUA.Tool.RemoveWGA
DrWeb	4.44.0.09170	2008.08.29	Tool.RemoveWGA
eSafe	7.0.17.0	2008.08.28	Win32.Small
eTrust-Vet	31.6.6057	2008.08.29	Win32/Prigamb.A
Ewido	4.0	2008.08.29	-
F-Prot	4.4.4.56	2008.08.29	-
F-Secure	7.60.13501.0	2008.08.30	-
Fortinet	3.14.0.0	2008.08.29	-
GData	19	2008.08.30	-
Ikarus	T3.1.1.34.0	2008.08.30	-
K7AntiVirus	7.10.432	2008.08.29	-
Kaspersky	7.0.0.125	2008.08.30	-
McAfee	5373	2008.08.29	-
Microsoft	1.3807	2008.08.25	-
NOD32v2	3401	2008.08.30	-
Norman	5.80.02	2008.08.29	-
Panda	9.0.0.4	2008.08.29	-
PCTools	4.4.2.0	2008.08.29	-
Prevx1	V2	2008.08.30	Suspicious
Rising	20.59.42.00	2008.08.30	-
Sophos	4.33.0	2008.08.29	RemoveWGA
Sunbelt	3.1.1592.1	2008.08.29	RiskTool.Win32.ProcessPatcher.Sml!cobra (v)
Symantec	10	2008.08.30	-
TheHacker	6.3.0.6.068	2008.08.30	-
TrendMicro	8.700.0.1004	2008.08.29	-
VBA32	3.12.8.4	2008.08.29	-
ViRobot	2008.8.29.1355	2008.08.29	Spyware.Small.Dr.13824.A
VirusBuster	4.5.11.0	2008.08.29	-
Webwasher-Gateway	6.6.2	2008.08.29	-

Kiểm định của 36 phần mềm antivirus

ThreatExpert là một hệ thống phân tích tự động cao cấp được thiết kế để xác định mức độ ảnh hưởng của các virus máy tính, sâu, trojans, adware, spyware hoặc các nguy cơ liên quan đến an ninh khác. Chỉ trong một vài phút, ThreatExpert có thể "lấy mẫu" phân tích và đưa ra các thông số về mức độ nguy hại có thể một cách chi tiết, theo tiêu chuẩn công nghệ của các hãng sản xuất phần mềm diệt virus, có thể tìm thấy một cách thông thường trên các thư viện bách khoa về virus.

Chỉ cần click vào ThreatExpert, chọn tập tin bạn muốn đề xuất cho nhà phân tích, nhập email, đồng ý với điều kiện sử dụng và nhấp Submit. Trong vài phút, bạn sẽ nhận được email thông báo với link cho biết kết quả phân tích.

Sau đây là 2 ví dụ:

ThreatExpert Report on RemoveWGA
ThreatExpert Report on Bifrost Trojan

Báo cáo về tập tin Bifrost trojan cho thấy, nó sẽ tạo ra tập tin exe trong thư mục Windows\System32. Nó cũng sẽ đột nhập vào hệ thống registry để kích hoạt chức năng khởi động cùng Windows. Cuối cùng, tập tin này sẽ tạo một kết nối tới hacker.ipaddress.com thông qua cổng 2000.

Nếu không thể chắc chắn tập tin nào đó là nguy hiểm hay không sau khi quét với 36 loại phần mềm diệt virus cũng như thực hiện phân tích với ThreatExpert mà vẫn muốn sử dụng nó, có lẽ lúc này, bạn nên chạy nó trong môi trường ảo thông qua các ứng dụng (Sandboxie và SafeSpace).

Kết luận: có lẽ, việc xác định một tập tin nào đó là nguy hại hay không là dựa chính vào khả năng thẩm định của con người và một ít sự trợ giúp khác của các công cụ khác.