Как работает антивирус сайтов?

Антивирус сайтов работает по так называемой “облачной” технологии. Вся антивирусная база и программные файлы хранятся на сервере PHP Keeper. Пользователю достаточно завести учетную запись на сайте www.phpkeeper.com и закачать на свой веб сервер небольшой файлик “keeper.php”. Далее пользователь запускает на своем сервере этот файлик “keeper.php”, который подкачивает из нашего сервера начальный программный код в специальном зашифрованном виде с одноразовым паролем. Этот программный код запускается, проверяет остаток средств в личном кабинете пользователя, после чего подкачивает модуль сканирования файлов и первичный набор сигнатур*. Если в файле встречается одна из сигнатур, то она указывает на группу (тип) угроз. Если в файле найдены признаки первичной сигнатуры, то этот файл проверяется повторно на наличие сигнатур второго уровня являющимися подгруппой для одной, найденной первичной сигнатуры. Далее (при условии обнаружения сигнатуры второго уровня) подкачиваются сигнатуры третьего уровня указывающие на под-подгруппу угроз и определенные только для одной сигнатуры второго уровня, и файл опять проверяется. При нахождении сигнатуры третьего уровня из облака подкачиваются уже конкретная группа тел вирусов и файл проверяется по четвертому циклу. Если найдено конкретное известное нам тело вируса, то файл вылечивается. А если найдены только сигнатуры указывающие на вирус, то файл помечается как потенциально опасный и предлагается ознакомиться с ним вручную или передать нам на анализ. Таким образом реализована дистрибутивная (саморазворачивающаяся) схема сканирования, позволяющая очень быстро проверять каждый файл на наличие одного из десятков тысяч вирусов хранящихся в нашей базе. В других антивирусах такой алгоритм называется “эвристический анализ” или “сканирование на лету”.  Разумеется, пользователь не принимает участия в этом чудо процессе, он только запускает у себя на сервере файл “keeper.php” и все!

* сигнатура - признак или набор признаков, позволяющий определить инородный код, которые сканер ищет в файлах.