Hola, me surgió la duda: ¿en que se basan los antivirus para saber si una aplicacion es peligros?

Sabiendo como funcionan se puede aprender a "evitarlos"... Saludos!

Actualmente, la tecnología de los antivirus ha evolucionado bastante, ya no solamente utilizan firmas para la busqueda,la  heúristica que nada tiene que ver con buscar cadenas peligrosas, tiene más que ver con por ejemplo el teorema de baynes., probabilidad y estadistica, busqueda de patrones etc etc.

decir en que se basa es para decirte todo un estudio de los algoritmos que se manejan, ya si quieres algo más simple es como lo que te dijo Hendrix, un buen libro si quieres meterte al tema es "The Art of Computer Virus Research"

Y sabiendo como funcionan no da lugar a aprender a como evitarlos, hay sus "técnicas" de ocultación pero al fin y al cabo los Avers te llevan una ventaja mucho más amplia.

Sin embargo el Polimorfismo de nivel 6, el que usa el Marbug es un ejemplo de que "tratar" de evitar a los antivirus es posible...
en cierta medida claro, alguna de sus mutaciones a veces no son detectadas por los avers, interesante no? =).

No importa cuanto hagas, sandbox, emulación de código, busqueda heúristica, blah blah

NADA HARÁ QUE PUEDAS EVITARLOS.

un saludo.

la mayoría de los antivirus utilizan hooks para filtrar el uso de funciones "potencialmente peligrosas", y se basan en "rutina de código virus", la mayoría de los virus tienen patrones que se repiten siempre, "buscar ejecutables", "analizar memoria", "sobrescribir ejecutables", es por esto que algunos antivirus suelen detectar a los Cracks como virus, pues lo que hacen estos es modificar el ejecutable en ciertos bits, lo de "NADA HARÁ QUE PUEDAS EVITARLOS" es bastante relativo (dependiendo del antivirus), es por eso que en la actualidad hay "pocos" virus y muchos gusanos, los gusanos cuentan con la ventaja de un comportamiento no tan predecible (dependen de lo que el coder quiere que hagan), pero no son tan infecciosos en si... aunque la verdad... ya me entraron un par... je... los gusanos no infectan ejecutables, sino máquinas, dentro de los más conocidos tenes el MyDoom que era difícil de detectar porque en realidad no dañaba el equipo de la víctima, sino que atacaba a un sitio (haciendo flood), y es estos comportamientos "no comunes" lo que los hace más difíciles de detectar...

S2