Mengapa perangkat lunak anti-virus tidak menghapus virus, malware, dll., Tetapi sebaliknya mengkarantina mereka?

Mengapa perangkat lunak anti-virus tidak sepenuhnya menghapus virus, malware, dll., Tetapi sebaliknya mengkarantina mereka? Apakah tidak lebih baik untuk sepenuhnya menyingkirkan mereka? Mengapa? Dan bagaimana cara menghapusnya secara manual?

Virus dan malware tidak berbahaya jika tidak dieksekusi.
File dalam karantina tidak dapat dijalankan oleh pengguna dan kode jahat (virus atau malware ) tidak memiliki kemungkinan untuk bertindak. Jika virus / malware dilepas, maka akan segera dihapus.
Jika tidak file akan dipindahkan ke karantina.

Ada beberapa alasan untuk ini:

• Salah positif (seperti ditekankan oleh jawaban lain juga, lihat di bawah dalam penjelasan lebih lanjut ).
• Kemungkinan di masa depan untuk memulihkan file (virus menambahkan kode di dalam file asli dan memindahkan / crypt / menyembunyikan bagian dari kode asli di suatu tempat. Saat ini tidak mungkin untuk memulihkan file tetapi mungkin dalam waktu dekat akan terjadi).
  Memang jika file itu unik (misalnya yang dibuat oleh pemilik komputer) dan itu entah bagaimana berharga , pengguna dapat menemukan cara untuk memulihkan semua bagian yang masih mungkin untuk dipulihkan dari itu. Bagian dari tesis (atau gambar) selalu lebih baik daripada tidak sama sekali.

• Kemungkinan untuk mempelajari virus oleh perusahaan antivirus atau untuk mengindividuasikan komputer lain dengan infeksi (bayangkan Anda memiliki file yang diserang oleh virus. Tanda tangannya, md5sumberubah. Anda memiliki file yang sama di banyak komputer. Jika tanda tangannya sama Anda bisa menebak mereka diserang. Jika Anda memeriksa cadangan Anda, Anda dapat menemukan pertama kali virus bertindak).
  _{Catatan: secara historis "quarantena" adalah periode isolasi 40 hari untuk kapal dan orang sebelum memasuki kota untuk mencegah penyebaran Black Death, untuk melihat apakah virus berkembang atau tidak. Di komputer kami, karantina hanyalah tempat yang aman untuk menyimpan file yang dicurigai tidak aktif, tanpa mengamati tindakan virus apa pun.}

• Di karantina dapat berakhir bahkan file yang dapat dieksekusi yang diubah.
  Bayangkan Anda memiliki program yang Anda kompilasi ulang atau program open source yang diperbarui bukan melalui cara windows biasa: antivirus dapat melihat aktivitas (menulis) pada exefile yang dapat dipotong dan memasukkannya ke dalam karantina.
  Terlebih lagi karena ada beberapa file dengan konten aktif (seperti, misalnya, Word atau eXcel macro ...) beberapa antivirus dapat menemukan perbedaan pada bagian yang dapat dieksekusi dan menafsirkannya sebagai yang dihasilkan oleh aksi virus.

• Jika Anda memiliki versi yang sama dari file yang diserang dari virus dengan cara yang berbeda , dapat (secara teoritis) memulihkan file dengan memotong dan menganalisis data dari versi ini.

Penjelasan lebih lanjut
Berpikirlah seperti virus dan antivirus untuk memahami mengapa karantina itu ada, mengapa bisa ada positif palsu dan mengapa ini adalah pertempuran yang berlanjut setiap hari.

Virus (atau malware ) adalah kode yang dikompilasi yang mengeksekusi tujuan untuk apa yang diprogram untuk.
Sebagai kode yang dikompilasi, ini biner (biasanya) dan bukan teks (seperti yang Anda baca). Ia harus menyebar sendiri dan melakukan beberapa pekerjaan rumah (misi, secara teknis muatan ), tidak harus pada saat yang sama (ini meningkatkan kemungkinan penyebaran infeksi sebelum terdeteksi).

Bagaimana virus dapat menyebarkan dirinya sendiri dan dieksekusi?

• Cukup dapat menimpa bagian dari kode asli ( exe, dll, com... file) dan menempatkan kode sebagai gantinya.

  
  ^{Contoh virus DOS kuno yang bertindak dalam mode seperti itu .}
  Kekurangannya adalah bahwa program asli dapat berhenti bekerja dan virus dapat dideteksi lebih cepat (Misalnya: "... halo program saya tidak berfungsi ... hal-hal aneh terjadi ... dapatkah Anda membantu? - Ya, Sir, Anda memiliki virus " ).

• Itu dapat menyalin bagian awal file yang akan terinfeksi pada akhirnya, setelah itu dapat menempatkan dirinya sendiri daripada bagian pertama. Jadi, ketika Anda menjalankan program, virus pertama kali dieksekusi dan hanya kemudian program dijalankan ... Varian yang lebih cerdas adalah menyalin dirinya sendiri di akhir file dan meletakkan lompatan ke akhir di awal file ( dan satu kembali ke awal di akhir) ... Kekurangannya adalah bahwa antivirus dapat mencari kode virus (setelah dikenal) dan menemukannya dengan mudah. Ini terjadi pada virus Cascade di tahun 80an-90an ...

  

• Itu dapat dibuat dari bagian-bagian dan dia ( perhatikan bukan ) dapat mengubah bentuk dan menyembunyikan dirinya di berbagai bagian program, memindahkannya, mengenkripsi dan berebut. Setiap kali ia dapat menginfeksi file baru dengan cara yang berbeda. Oleh karena itu antivirus hanya dapat menemukan sisa-sisa sidik jari - setiap hari ia lebih sulit diidentifikasi.

Sekarang, apakah Anda ingat bahwa virus itu (biasanya) kode biner? Nah, sidik jarinya juga.
Karena mereka bukan virus penuh tetapi hanya beberapa byte, mungkin terjadi bahwa bagian dari file terkompresi, file data, atau gambar memiliki byte yang sama dengan salah satu dari banyak sidik jari virus yang dikenal - karenanya positif palsu.

Catatan konklusif: tidak semua virus direncanakan untuk rusak, tetapi kebanyakan dari mereka melakukannya, secara de facto .
Dengan penggunaan aktual komputer dengan rekening bank dan tagihan untuk membayar, rasanya tidak lagi selucu gambar di atas.

Aplikasi anti-malware menyediakan opsi karantina, yang sering diaktifkan secara default untuk dua alasan:

1. Simpan cadangan item yang diidentifikasi sebagai ancaman jika ada false positive. Meskipun tidak terlalu umum, saya telah melihat kasus false positive pada banyak file aplikasi dan driver yang berbeda.
2. Memiliki barang dalam karantina memungkinkan untuk diselidiki lebih baik. Fakta bahwa itu cocok dengan tanda tangan malware tidak berarti itu hanya mirip tetapi sebenarnya mungkin memiliki kekhasan lainnya.

Untuk alasan yang sama bahwa (kebanyakan) pemerintah menangkap tersangka penjahat alih-alih menembak mereka di jalan dengan sedikit provokasi:

Anda ingin memberi tersangka kesempatan untuk membela diri, jika mereka benar-benar tidak melakukan kejahatan sama sekali. Dan, bahkan jika mereka melakukan kejahatan, Anda mungkin ingin mencari tahu tentang hal itu.

Virus (misalnya) tidak harus berupa biner "berdiri sendiri" (.exe). Secara tradisional, banyak dari mereka "melampirkan" diri mereka ke (banyak) executables normal. (maka pilihan kata: "infect")

Karenanya "penghapusan" file malware bukan satu-satunya pilihan. Banyak AV menawarkan opsi untuk "membersihkan" file yang terinfeksi. (hapus bagian virus dari file program yang normal. Biarkan program normal di tempatnya.)

"Penyebaran infeksi" tidak akan didasarkan pada "menjalankan malware" (proses yang terlihat .exe) - tetapi didasarkan pada menjalankan "program normal" apa pun (Word, Excel). (atau buka dokumen normal dengan itu)

Memindahkan file program "normal tetapi terinfeksi" ke lokasi karantina, adalah langkah pertama untuk berhenti menyebarkan infeksi. Di sana, kecil kemungkinannya untuk dieksekusi terus menerus selama operasi setiap hari.

Karantina memberi Anda opsi, sebelum dihapus. Jika "pembersihan" gagal. Jika Anda memiliki "alat yang lebih baik" di tempat lain. Atau jika Anda masih membutuhkan semua file yang terinfeksi. (untuk analisis, pemulihan data)

Terkadang anti virus mungkin menganggap file penting Anda sebagai berbahaya dan bukannya menghapusnya secara otomatis, itu mengkarantina mereka di mana mereka tidak dapat mengeksekusi atau mengakses file Anda dan memberi tahu Anda tentang tindakannya.