Malware-ul polimorf este un tip de malware capabil să-și modifice automat structura codului la fiecare nouă infecție sau chiar la fiecare execuție, păstrându-și în același timp funcția malițioasă originală, cu scopul specific de a evita detectarea de către antivirusurile care caută semnături cunoscute. Practic, arată mereu diferit "pe dinafară", deși face exact același lucru "pe dinăuntru".
Cum funcționează malware-ul polimorf?
Un antivirus tradițional identifică malware cunoscut comparând fișierele cu o bază de date de "semnături" — tipare specifice de cod deja catalogate ca malițioase. Malware-ul polimorf include un motor intern care rescrie sau criptează diferit codul propriu la fiecare copiere sau infecție, astfel încât semnătura rezultată să difere de fiecare dată, chiar dacă comportamentul rămâne identic. Unele variante, numite metamorfe, merg și mai departe și rescriu logica internă a codului, nu doar învelișul exterior.
De ce contează?
Pentru că anulează eficiența detectării bazate exclusiv pe semnături, forțând soluțiile de securitate să evolueze spre analiză comportamentală. Un antivirus care recunoaște o variantă de malware polimorf azi poate rata complet o copie a aceluiași malware mâine, doar pentru că arată diferit la nivel de cod. Malware-ul polimorf a fost, istoric, unul dintre principalele motive pentru care industria a trecut de la antivirus clasic la soluții EDR bazate pe comportament.
Cum te protejezi?
- Folosește o soluție de securitate modernă, bazată pe analiză comportamentală și euristică, nu doar pe semnături statice.
- Menține EDR-ul și antivirusul actualizate constant — motoarele de detectare comportamentală evoluează continuu pentru a ține pasul.
- Rulează fișierele suspecte într-un sandbox izolat, unde comportamentul real poate fi observat, indiferent de cum arată codul la suprafață.
- Aplică principii de bază solide (actualizări, drepturi limitate) — malware-ul polimorf tot are nevoie de o cale de intrare inițială, de obicei phishing sau un exploit.
Un exemplu concret
Un fișier malițios se răspândește printr-o campanie de phishing, dar fiecare copie trimisă către victime diferite are un cod ușor diferit, generat automat de un motor de mutație intern. Antivirusul clasic al unei firme, bazat doar pe semnături, recunoaște și blochează primele câteva copii, dar ratează variantele ulterioare, identice ca funcție, dar diferite ca aspect tehnic.
Vrei o protecție care detectează comportamentul, nu doar aspectul cunoscut al fișierelor? Vezi soluția noastră de antivirus și EDR.
Întrebări frecvente
Malware-ul polimorf e mai periculos decât unul obișnuit?
Efectul final asupra unui sistem infectat poate fi identic — diferența e capacitatea lui de a evita detectarea mai mult timp, ceea ce crește șansele ca infecția să se răspândească înainte de a fi observată.
Antivirusul modern e complet inutil împotriva malware-ului polimorf?
Nu — soluțiile moderne combină semnăturile clasice cu analiză comportamentală și euristică, exact pentru a detecta funcția malițioasă chiar și atunci când codul exterior se schimbă constant.