ทำไมโปรแกรมถึงถูกตรวจพบโดยโปรแกรมป้องกันไวรัส? (Why is the program flagged by antivirus?)

คำอธิบายเกี่ยวกับการตรวจจับของโปรแกรมป้องกันไวรัส

นี่คือการตรวจจับที่ผิดพลาด (False Positive) ซอฟต์แวร์ส่วนตัว (Private software) คุณภาพสูงใดๆ ที่ออกแบบมาเพื่อบายพาสระบบ Anti-cheat จำเป็นต้องใช้เทคนิคที่โปรแกรมป้องกันไวรัสจัดว่าเป็นพฤติกรรมที่น่าสงสัย เนื่องจากเป็นเทคนิคเดียวกับที่มัลแวร์จริงๆ ใช้งาน การที่โปรแกรมป้องกันไวรัสแจ้งเตือนเป็นสัญญาณบ่งบอกว่าซอฟต์แวร์กำลังทำงานอยู่ในระดับระบบส่วนลึก (Low-level system)

ถาม: โปรแกรมช่วยเล่นที่ไม่กระตุ้นการตรวจจับของแอนติไวรัส ดีกว่าหรือไม่?

ตอบ: ไม่ใช่ ซอฟต์แวร์ส่วนตัวที่ไม่ส่งสัญญาณเตือนแอนติไวรัส มักจะขาดการทำงานในระดับต่ำที่จำเป็นของระบบ (ซึ่งมักจะล้มเหลวในการข้ามระบบ Anti-cheat ที่เข้มงวด) หรือไม่ก็ถูกบันทึกอยู่ในฐานข้อมูลซิกเนเจอร์ (Signature database) ของ Anti-cheat ไปเรียบร้อยแล้ว

ถาม: การตรวจพบ 40/72 รายการบน VirusTotal ถือเป็นเรื่องปกติหรือไม่?

ตอบ: ใช่ นี่เป็นเรื่องปกติอย่างยิ่ง การแจ้งเตือนเหล่านี้ไม่ได้เป็นการตรวจพบไวรัสเฉพาะเจาะจงใดๆ แต่เป็นการตรวจพบตัวป้องกัน Themida ที่ใช้ในการปกป้องโค้ด Themida เป็นซอฟต์แวร์เชิงพาณิชย์ที่ถูกกฎหมาย ซึ่งใช้เพื่อปกป้องโปรแกรมจากการทำวิศวกรรมย้อนกลับ (Reverse engineering)

W64/Themida.WN
Win64/Packed.Themida.Q
Suspicious App
Generic.Packed
Unsafe

ถาม: แต่ตรวจพบตั้ง 40 รายการ ไม่ถือว่าเยอะไปหรือ?

ตอบ: เรื่องที่ย้อนแย้งคือ ไวรัสจริงๆ มักจะมีการตรวจพบเพียง 0–5 รายการบน VirusTotal เท่านั้น ไม่ใช่ 40 รายการ ผู้พัฒนามัลแวร์มักจะทดสอบไฟล์บน VT ก่อนเผยแพร่และใช้ตัวเข้ารหัสแบบส่วนตัว (Private cryptors) แต่เราใช้ Themida ซึ่งเป็นตัวปกป้องเชิงพาณิชย์สาธารณะ เราไม่จำเป็นต้องหลบซ่อนจากโปรแกรมป้องกันไวรัส แต่เราต้องการปกป้องโค้ดจากการวิเคราะห์ของระบบ Anti-cheat

การตรวจพบจำนวนมากบน VT พร้อมป้ายกำกับเช่น "Themida/Packed/Suspicious" เป็นสัญญาณของซอฟต์แวร์ที่ได้รับการปกป้องอย่างถูกต้องตามหลักการ ไม่ใช่ไวรัส การตรวจจับของแอนติไวรัสเป็นผลพลอยได้จากเทคโนโลยีที่จำเป็นในการทำงานในระดับเคอร์เนล (Kernel level)