trojan/viruss detection

dal neko moze objasniti kako rade vecinom antivirusna softwera ...pr. kad se pojavi neki novi virus na neta on ga prepoznaje kao opasni fajl za racunaru...
evo da recimo da imamo trojan horse. prv put se vide bilo gde a antivirus ga prepoznaje kao opasni... u koje linija koda je klucni element??? nisam programer ali me vrlo interesuje neke stvari :)) pozz

Potpis

Rogues do it from behind! :)

Postoje dva osnovna "mehanizma" koje AV koristi za detektovanje virusa, heuristikom ili uporedjivanjem fajla sa virus signaturima iz baze. Heuristikom AV analizira & emulira kod virusa i trazi sumnjive patterne koda, dok je ovaj drugi nacin malo specificniji - AV ima bazu sa gotovim signatureima iz raznih malicioznih programa, pa uporedjuje sumnjivi fajl sa njima. Elem, ovaj nacin se moze vrlo lako zaobici, jer se virus uvek moze obsfukirati tako da opet ostane undetectable za signature engine.
I ako taj isti signature engine ne nadje nista sumnjivo prilikom skeniranja fajla, AV uvek moze da pomocu dobrog heuristic algoritma nadje jos neotkrivene viruse. (sto je verovatno i slucaj kod tvog trojanca - verovatno imas neki deo koda koji se moze okarakterisati kao maliciozan, recimo keylogger, manipulacija procesima etc etc)

Evo ti neki linkovi:
http://en.wikipedia.org/wiki/Heuristic_analysis
http://www.securityfocus.com/infocus/1542
http://www.net-security.org/article.php?id=485&p=2
http://www.itdefensemag.com/articles1.php
http://wiki.castlecops.com/AntiVirus_features