Wie arbeitet ein A/V active scan?

[heinzelJacKy]

nuja, die frage steht eigentlich schon im betreff:
mich wuerd brennend interessieren, wie so ein antiviren-programm arbeitet, wenn es ueber ein active scanning/guard/etc. verfuegt
mir geht es dabei darum, wie es bewerkstelligt, von jeder datei informiert zu werden, die geöffnet/ausgefuehrt wird und die dann scannen kann.

meine eigenen ueberlegungen waren:
1. die entsprechenden system-apis hooken
wuerde aber ziemliche komplikationen aufrufen, wenn dann wirklich ein rootkit etc. die macht uebernimmt, da die ja auch ziemlich oft mit hooks arbeiten und so den a/v komplett ausser gefecht setzen wuerden..
2. gibts evtl ne antiviren-api, wo sich das programm registriert und dann jedes mal vom system aufgerufen wird, wenn ein programm etc. gestartet wird?

thx, mfg heinzel


EDIT: hat einfach keiner ne ahnung, keiner lust oder bin ich im falschen unterforum? X(

 

[v01d]

ich vermute mal da werden die apis gehookt. also 1.
und bevor das rootkit ausgeführt / installiert wird, wird ja erstmal das av drüberlaufen lassen und das erkennt dann (hoffentlich) das die datei böse ist und blockt den zugriff.
da gibts so ein tool NTFILEMON von sysinternals. das listet auch alle dateizugriffe auf. ich nehm mal an das funktioniert genauso.

 

[heinzelJacKy]

hm ok, aber wie werden die gehookt? naja hängt wahrscheinlich vom jeweiligen scanner ab, werden nicht alle gleich machen..
kennt vielleicht wer n gutes paper dazu oder ne page oder ähnliches? oder wird das alles geheimgehalten wegen viren, die gezielt den scanner angreifen könnten? aber eigentlich kann doch durch reverse engineering trotzdem relevanter code und funktionsweisen offengelegt werden, denk ich mal..