Uma nova ameaça chamada Process Doppelganging aproveita a capacidade do recurso de transações no sistema de arquivos NTFS do Windows. O malware executa operações em arquivos que os tornam invisíveis para o software de segurança. "Do ponto de vista técnico, [nossa] pesquisa mostra que os mecanismos de verificação de arquivos corretos são difíceis de acertar e, especificamente, que o tratamento correto das transações é ainda mais difícil", diz Udi Yavo, pesquisador da enSilo, que descobriu o Process Doppelganging.
"No entanto, acho que a principal conclusão desta pesquisa é que ter uma única linha de defesa não é suficiente, e às vezes até mesmo pequenos truques podem levar a desvios, mesmo em produtos maduros. As empresas devem migrar para soluções que possam bloquear ataques em cenários pré e pós-execução ”, diz Yavo.
O NSS Labs também está executando testes de ferramentas de proteção de terminais tradicionais e de próxima geração. Em suas últimas rodadas de testes, a empresa concentrou-se apenas em fornecedores que possuem recursos avançados de detecção. No ano passado, quando os testes incluíram também fornecedores exclusivos, os produtos tradicionais tiveram um desempenho ruim.
O problema é agravado se as novas ameaças forem projetadas para se espalhar rapidamente em uma empresa e causar o máximo de danos o mais rápido possível, e agravadas novamente se as empresas atrasarem o lançamento de atualizações de antivírus. Além disso, a quantidade de malware está crescendo exponencialmente, de acordo com o AV-TEST, portanto, mesmo que um determinado produto tenha uma alta taxa de detecção, mais e mais malwares, em termos absolutos, passarão despercebidos. Além disso, se os invasores perceberem que um determinado tipo de malware está sendo processado, eles poderão duplicá-lo.
Esses quatro fatores combinados ajudaram a impulsionar o recente ransomware WannaCry para mais de 400 mil dispositivos infectados e o potencial impacto financeiro total de até US$ 8 bilhões. Isso não significa que o antivírus tradicional seja completamente obsoleto. Ele ainda tem um lugar na empresa, dizem os especialistas, porque é muito eficaz em identificar e bloquear ameaças conhecidas de maneira rápida, eficiente e com mínima intervenção humana. Além disso, o antivírus tradicional é uma exigência de conformidade em alguns setores.
Uma empresa que não tem escolha sobre o uso de antivírus tradicionais é a National Mortgage Insurance Corp, sediada em Emeryville, na Califórnia. “Nossos clientes são bancos e muitos exigem um antivírus tradicional baseado em assinaturas como parte da defesa que oferecemos", diz Bob Vail, diretor de segurança da informação da empresa.
A Sophos, fornecedora de antivírus da empresa, tem um bom histórico de detecção e é muito leve, diz ele. Isso faz com que seja uma boa primeira rodada de defesa, mas Vail diz que sabe que não é suficiente.