Déjouer les virus inconnus

Votre antivirus est probablement très efficace pour dénicher les virus qu’il connaît déjà. Il dispose pour cela d’une base de données de plusieurs dizaines de milliers de “portraits robots” des virus répertoriés. C’est cette fameuse “base de signatures” qu’il faut mettre (très) régulièrement à jour afin d’être protégé au mieux. Mais quid des virus qui n’ont pas encore été identifiés par l’éditeur de votre antivirus ?

:: La quête du virus inconnu

La détection de virus inconnus est une toute autre affaire. Elle exige des techniques à la fois plus complexes et moins fiables que la recherche par signatures. De l’aveux même des éditeurs d’antivirus, il s’agit d’ailleurs plus d’un Art que d’une science exacte ! Deux méthodes essentielles sont utilisées pour traquer l’hôte inconnu (et indésirable !) sur votre PC : l’analyse dite générique du programme suspect, et l’observation de son comportement.

La première consiste à “ouvrir” le programme suspect et jeter un oeil à ce qu’il est capable de faire. S’il dispose de composants capables de rechercher d’autres programmes, de les ouvrir et leur ajouter une partie de lui-même, par exemple, il sera particulièrement suspect. Peu importe qu’on le connaisse ou non, les actions dont il est capable sont potentiellement celles d’un virus.

La seconde méthode consiste à observer “sur le terrain” le comportement de tous les programmes du PC. Si l’un d’eux fait par exemple en sorte de se lancer à chaque démarrage de l’ordinateur, d’écrire sur certaines parties sensibles du disque dur ou de modifier d’autres programmes qui n’ont rien à voir avec lui, l’antivirus l’en empêchera et donnera l’alerte. Il s’agit d’une protection dite “comportementale”.

:: Attention aux erreurs

Bien entendu, ces méthodes ne sont pas très précises et peuvent donner lieu à de fausses alertes. C’est d’ailleurs ce qu’on leur reproche le plus souvent. Les éditeurs d’antivirus préfèrent donc généralement s’appuyer sur une signature (on sait exactement à qui on a à faire) plutôt qu’une suspicion. Un test indépendant, mené par le site AV comparatives a ainsi déterminé que parmi de nombreux antivirus du marché, certains étaient si mauvais au petit jeu de la détection des virus inconnus qu’ils considéraient presque tout comme un virus ! La plupart, cependant, s’en sortait relativement bien, avec une mention spéciale pour quelques uns pourtant moins connus du grand public. Mais la morale de ce test demeure, surtout, qu’il est vraiment nécessaire de mettre sa base de signatures à jour très régulièrement (jusqu’à toutes les heures si l’éditeur le propose) et de ne compter sur la détection des virus inconnus que comme une mesure de dernier recours !