Scansione antivirus online dei processi in esecuzione

Quando si hanno dei dubbi sull’identità di un file, specie se provenienti da contatti sconosciuti o da sorgenti inaffidabili, il nostro consiglio è sempre quello di effettuare una scansione antivirus online con VirusTotal.
Il servizio, di proprietà di Google ed utilizzabile collegandosi con questa pagina, consente di sottoporre a scansione antivirus online qualsiasi eseguibile con oltre 50 motori antivirus ed antimalware.

Quando si riceve un allegato “sospetto” o si scarica da Internet un programma “dubbio”, suggeriamo di inviarlo a VirusTotal in modo da sottoporlo ad una scansione antivirus istantanea.

Come prassi, suggeriamo di effettuare una scansione antivirus online con VirusTotal anche dei programmi che si scaricano dalla Rete, soprattutto se poco conosciuti o se si hanno dubbi sulla loro “legittimità”.

I motori di scansione antivirus su cui poggia VirusTotal utilizzano le firme virali più recenti ed aggiornate rilasciate dai vari produttori. Oltre ai nomi più famosi come AVG, Avira Antivir, Avast, BitDefender, ClamAV, Comodo, Dr.Web, ESET, Emsisoft, F-Secure, Fortinet, G-DATA, Malwarebytes, McAfee, Microsoft, Panda, SuperAntiSpyware, Sophos, Symantec e TrendMicro, si avrà automaticamente modo di utilizzare anche i motori antivirus ed antimalware di altri produttori meno conosciuti.

Quando si analizzerà il responso di VirusTotal, è bene tenere presente che in alcuni casi possono essere restituiti dei “falsi positivi” ossia il file sottoposto a scansione può essere bollato come pericoloso da uno o più motori antivirus quando in realtà si tratta di un elemento assolutamente legittimo e benigno.

Dicevamo che VirusTotal si rivela molto utile anche quando si scaricano file da Internet. È infatti sempre più prassi, da parte degli sviluppatori software, di inserire nelle loro “creazioni” anche elementi potenzialmente indesiderati oppure oggetti che tengono un comportamento al limite dello “spyware”.
Nel caso in cui un eseguibile scaricato dalla Rete contenesse componenti superflui o pericolosi, su VirusTotal qualche motore antivirus lo indicherà sicuramente come “PUP” (Potentially unwanted program), come “Adware” o come “Spyware” riportando spesso anche il componente indesiderato che la procedura d’installazione del programma contiene al suo interno.

Nell’articolo Scansione file online con VirusTotal… senza caricare alcun dato avevamo a suo tempo presentato un piccolo programma, messo a punto da un nostro lettore, che permette di effettuare una scansione antivirus online con VirusTotal del contenuto di intere cartelle senza caricare in Rete alcun dato.

Com’è possibile se VirusTotal, non appena ci si collega con la sua home page mostra in bella evidenza il pulsante Submit (consente di selezionare un file in locale e di inviarlo sui server del servizio per procedere con la scansione online)?

Semplice. VirusTotal tiene traccia di ogni singola analisi effettuata su ciascun file sottoposto a scansione. Così, nel corso di anni di attività, VirusTotal ha potuto comporre un vastissimo archivio di scansioni via a via effettuate dagli utenti del servizio.
Ogni file è contraddistinto in modo univoco da una firma digitale: calcolandola (algoritmi MD5 o SHA1) è possibile interrogare VirusTotal e richiedere il responso (esito della scansione antivirus) rilasciato all’ultimo utente che ha inviato il medesimo file.
La nostra applicazione, presentata nell’articolo Scansione file online con VirusTotal… senza caricare alcun dato non fa che calcolare le firme (o hash) dei file memorizzati in locale ed interrogare VirusTotal.

– Per maggiori informazioni sulle firme digitali e sugli algoritmi di hashing, suggeriamo la lettura dell’articolo MultiHasher: verificare l’integrità di qualunque file in Windows.

Di recente, anche gli autori della famosa utility Process Explorer hanno utilizzato lo stesso approccio.
Process Explorer è uno dei migliori programmi per indagare sui processi in esecuzione sul sistema (Process Explorer: individuare e risolvere problemi legati ai processi in esecuzione) smascherando quegli elementi che occupano maggiormente le risorse del sistema e che sono eventualmente collegati all’azione di malware insediatisi in Windows (vedere anche Monitorare processi di Windows e programmi in esecuzione).

Con il rilascio di Process Explorer 16.01, una delle applicazioni opera di Mark Russinovich (la cui società nel mese di luglio 2006, dopo anni di attività, è stata acquisita da parte di Microsoft), il programma diventa in grado di sottoporre a scansione antivirus su VirusTotal tutti i processi in esecuzione sul sistema.

Per attivare tale funzionalità, è sufficiente avviare Process Explorer, cliccare sul menù Options, VirusTotal.com quindi su Check VirusTotal.com:

A questo punto, apparirà la nuova colonna “VirusTotal“.
Dopo la scansione iniziale (verranno trasmessi a VirusTotal solo gli hash dei processi in esecuzione), nella colonna VirusTotal appariranno tutti i responsi:

Uno zero iniziale (ad esempio “0/51”) indica che il file è stato classificato come “benigno” da parte di tutti i motori antivirus usati da VirusTotal.
Ovviamente, utilizzando gli hash di ciascun file (in modo da velocizzare la visualizzazione del responso), l’esito della scansione antivirus va riferito all’ultima analisi che è stata effettuata, da qualche altro utente, in periodi precedenti, su VirusTotal.

Come si vede, nel nostro caso non manca qualche “falso positivo” (indicazione “1/51” o “1/50”) data, come abbiamo avuto modo di verificare, dal motore antivirus Aegis (software house meno conosciuta).

Purtroppo, almeno al momento della stesura dell’articolo, Process Explorer manca di un link che permetta di accedere velocemente alla pagina del responso su VirusTotal.

Facendo doppio clic su un processo in elenco quindi su Submit, infatti, il file corrispondente sarà inviato sui server di VirusTotal per una scansione vera e propria ma non verrà visualizzata la pagina web con l’esito integrale dell’analisi.
Peraltro, il comportamento del pulsante Submit sembra ancora migliorabile: in alcuni casi, infatti, l’esito della scansione completa sembra non pervenire mai (visualizzazione dell’indicazione Scanning…).

Per verificare una scansione manuale su VirusTotal, suggeriamo di copiare il contenuto della casella Path (CTRL+C), collegarsi con la home del servizio, cliccare su Scegli file, incollare il percorso del file nella casella Nome file della finestra di dialogo Selezionare il file da caricare (CTRL+V) quindi fare clic su Apri.
Selezionando il tasto Scansiona su VirusTotal, inizierà una scansione completa del file trasmesso.