¿Cómo se detectan los virus?

Una de las formas en que ClamAV detecta un virus, o más bien decide que un archivo es malware, es si el hash SHA256 del contenido del archivo está en una base de datos antivirus. Bastantes personas coincidieron en que el archivo es malicioso que no tiene sentido analizarlo más a fondo. La identificación de malware por firma es común en Virustotal y en los blogs de seguridad.

Otra forma es buscar un patrón de bits en un archivo, una firma para un virus en particular. Ese es el método antivirus tradicional, que data de cuando los virus se agregaron a programas legítimos compartidos en un disquete. El virus puede aparecer en cualquier punto de un archivo binario, pero puede identificarse mediante una cadena de bytes particular o una serie de instrucciones que es poco probable que ocurra en un programa legítimo. Determinar una firma de este tipo requiere algo de tiempo y esfuerzo para analizar el malware, en comparación con el cálculo de un hash que es trivial.

Principalmente por definiciones. Si un miembro de la compañía de antivirus marca un software como malicioso, se agregará a las definiciones de virus de su programa de antivirus. Cuando el antivirus se encuentre con el software marcado como malicioso, se lo notificará y lo eliminará.

Aparte de eso, una forma relativamente nueva que los programas de seguridad tienen para detectar virus se llama protección contra ataques de día cero o análisis de comportamiento.

Con ese método, el programa de seguridad escanea el código de una aplicación en busca de comportamiento sospechoso. De esa manera, puede detectar una amenaza que nunca antes había visto nadie hasta ese mismo momento.