Ahora hace casi 10 años que en Viruscan gratis os explicaba como aprovechar el motor de análisis de McAfee para usarlo gratis desde la linea de comandos. Las cosas cambian, y aquellas instrucciones ya no son válidas, al igual que tampoco lo es el archivo BAT. Si quieres seguir utilizándolo, la pista es vscl-w32-610-e.zip.
Como quiera que cada vez le tengo más manía a NAI, hoy vamos a actualizar esa información, pero con Emsisoft Commandline Scanner. Podría haber utilizado en vez de Emsisoft cualquier otra solución, pero os explico los motivos:
– ClamAV: Sabéis que pese a sus buenas intenciones y su código abierto, está muy por detrás de los antivirus de casas especializadas. Vale para salir del paso, pero no es demasiado fiable que es lo que buscamos en caso de problemas.
– Avast: La instalación sólo por linea de comandos es tediosa. Necesitamos descargar la versión completa, y luego el añadido por linea de comandos.
– Avira: Cada vez lo ponen más complicado para descargar sus firmas (VDF), así que lo descartamos.
– Sophos: Igual que Avira, es complicado descargar solamente las firmas, así que otro descarte.
– Panda: Igual que Sophos y Avast, descartado.
Entonces llegamos a Emsisoft Antivirus, es estupendo, porque ya tienen una versión disponible tanto de 32 como de 64 bits, que podemos descargar aquí: https://www.emsisoft.com/en/software/cmd/.
Lo que descargamos, es directamente un archivo RAR SFX, así que no necesitamos nada, ejecutarlo, y escoger donde lo queremos extraer.
Entonces actualizamos el motor de firmas, y esa es otra cosa buena que trae el Commandline Scanner, el actualizador va integrado en el propio programa, no tenemos que lidiar con ZIPs ni cosas parecidas. Además, las actualizaciones son incrementales como en la versión con interfaz gráfica Emsisoft Anti-Malware o como en cualquier antivirus normal, así que las descargas suelen ser bastante pequeñas y rápidas.
a2cmd /update
a2cmd /rootkits /memory /traces /pup /archive /am /directdiskaccess /rebootallowed /f=c:\
Es un motor de análisis bastante rápido, y eso me gusta. Como habéis visto, las posibilidades de automatizarlo son bastante grandes. Incluso podemos usar el parámetro /service, que nos cargará a2service.exe con el motor en memoria, y así futuras ejecuciones de a2cmd.exe serán mucho más veloces a costa de ocupar más memoria. Me gusta que la versión por linea de comandos esté actualizada, y que de hecho se mantenga así con mucha regularidad. Otros vendedores le dan un trato de segundas a estas versiones de consola, y al final, terminan yendo uno o dos pasos por detrás de las gráficas.
Otra característica que no es en absoluto común en los escáneres por linea de comandos, es que tiene soporte Cloud, y que de hecho está activado por defecto, aunque podamos desactivarlo. Así, los archivos desconocidos o sospechosos, se cotejan con la base de datos online de la nube de Emsisoft.
Quizás la única pega que le puedo sacar, es que si distribución, el EmsisoftCommandlineScanner32.exe o EmsisoftCommandlineScanner64.exe son 250 Mb., que se convierten en 320 Mb. una vez descomprimido. El culpable, son las firmas, que totalizan más de 250 Mb. de datos, y que ya van comprimidas internamente. Una tendencia habitual hoy en día, donde cada vez se demuestra que el sistema de búsqueda en base a firmas está obsoleto.
Me gusta bastante este producto, y aunque de momento lo tengo solamente como segunda opinión frente a Bitdefender Antivirus Free, no descarto que a corto plazo acabe siendo mi herramienta anti malware principal. En caso de dudas, y como suelo hacer en estos artículos, os dejo con la referencia:
a2cmd.exe [path] | [parameters]
Scan types (can be used together):
/f=[], /files=[path] Scan files. Full path to file or folder required
/quick Scans all active programs and Spyware Traces
/malware Good and fast result, but only important folders will
be scanned
/rk, /rootkits Scan for active Rootkits
/m, /memory Scan Memory for active Malware
/t, /traces Scan for Spyware Traces
/fh=[handle] /pid=[PID] Scan file by handle. Process ID of the
handle is required
/b=[pointer] /bs=[size] /pid=[PID] Scan buffer. Buffer size and process ID
are required
Scan settings (used with scan types):
/pup Alert Potentially Unwanted Programs (PUP)
/a, /archive Scan in compressed archives (zip, rar, cab)
/am Scan in mail archives
/n, /ntfs Scan in NTFS Alternate Data Streams
/cloud=[] If it is "1" then scanner will use cloud
requests (defaul value is "1")
/dda, /directdiskaccess Use direct disk access
/l=[], /log=[filepath] Save a logfile in UNICODE format
/la=[], /logansi=[filepath] Save a logfile in ANSI format
/x=[], /ext=[list] Scan only specified file extensions, comma
delimited
/xe=[], /extexclude=[list] Scan all except the specified file extensions
/wl=[], /whitelist=[file] Load whitelist items from the file
/d, /delete Delete found objects including references
/dq, /deletequick Delete found objects quickly
/q=[], /quarantine=[folder] Put found Malware into Quarantine
/rebootallowed Allows automatic OS restart, if this is required
to remove found threads
/s, /service Run scan via windows service and keep the engine loaded
Malware handling (standalone parameters):
/ql, /quarantinelist List all quarantined items
/qr=[], /quarantinerestore=[n] Restore the item number n of the quarantine
/qd=[], /quarantinedelete=[n] Delete the item number n of the quarantine
Online updates:
/u, /update Update Malware signatures
/uf=,
/updatefeed= Update from specified update feed
Applicable only to standalone a2cmd package.
/proxy=[proxyname:port] Proxy address and port number
/proxyuser=[username] Proxy user name
/proxypassword=[password] Proxy user password
General commands:
/k=[key], /key=[key] Set license key information (required only once)
(expects only full license key)
/?, /help Show help message
Result codes:
0 - No infections were found
1 - Infections were found
El sistema de firmas de antivirus hace AÑOS que está obsoleto. Imaginémonos una base datos de potenciales criminales del mundo entero de la CIA, que es consultada a diario por millones de personas en todo el planeta. Esa es la ridiculez de las firmas de virus de hoy. Como todo el mundo que haya estudiado un poco de bases de datos sabe, se pueden producir dos «colapsos» en las mismas: uno, el cuello de botella que se forma al intentar acceder muchos a la vez. Dos, la lentitud de lectura de datos cuando éstos son muchos, y el sistema operativo no tiene recursos suficientes (un ordenador, lo usamos para otras cosas, no solo para revisar virus).
Gracias por la info en líneas de comandos, la verdad es que está genial ese sistema frente a las cargantes interfaces gráficas de hoy día.
Así es bianamaran, las firmas son un mal sistema. Muchos hablan de su ineficacia, como es tu caso y el mío también. Pero hace 15 años ya se vivió algo parecido diciendo que éstas habían llegado a su límite en cuanto a antivirus y no fue así. En ese momento es cuando se inventaron que la mayoría de firmas la extrajeran programas en vez de personas. El mantenimiento se tornó más fácil, y en cuanto a capacidad, bueno, también han mejorado mucho, no hay más que ver SQLite por ejemplo.
El problema es que no hay alternativa. Las heurísticas que nos venden tan modernas, ya existían hace 30 años, y sólo era válidas como complemento a las firmas. El análisis en la nube, no deja de ser otra base de datos, sólo que en este caso de reputación colectiva. Ahora se habla mucho de HIPS o análisis del comportamiento, otra tecnología que existe desde hace al menos 10 o 15 años.
No es tan fácil detectar un malware, máxime si somos conscientes que la mayoría de software legítimo hace también cosas «malas». ¿Cómo diferenciarlos? Es verdaderamente difícil.
De la heurística no me he querido meter porque sabes lo que pienso y si entro al trapo me hierve la sangre… Ese tema prefiero ya ni tocarlo 🙂
Además, creo que se equivoca (la industria no, claro, a la industria le conviene ir por ahí) quien trata de hacer eso, o sea, detectar malware o usar un antivirus como medida de contención. Eso, eso, ¡eso debería hacerlo el sistema operativo! De siempre, en las políticas de diseño, debería implementar eso. El antivirus lo que debería hacer es limpiar una vez infectado, y el escaner usarlo en casos de infección (o potencial infección), no como medida de contención. ¡Eso tiene que estar en el sistema operativo!
La prevención es por tanto del sistema operativo, e imaginémonos -trasladándolo al mundo «real»- que es como prevenir una enfermedad. Cuando llega el resfriado sí, están bien los antivirales, ¡pero sería de locos tomarse antivirales todo el rato estando sano! Estando sano lo que hay que hacer es prevenir que nos venga el resfriado.
Es curioso que los virus, que se inspiraron en la naturaleza tomando el mundo de la informática como si fuera un cuerpo «virtual» (de hecho el 29A los hacía inspirándose en virus reales), no fuesen tratados como lo son tratados en la vida real. Los animales tienen -tenemos- un sistema inmunitario para ello, con una serie de vacunas que podemos usar para «enseñarle» a defenderse. Pero todo ese bagaje de defensa no se ha traducido al mundo informático, por intereses que he contado mil veces y que ya sería muy tedioso repetir aquí.
Los primeros interesados que haya virus es microsoft, y los desarrolladores de antivirus. De hecho -y ya lo conté alguna vez- uno de ellos trabajaba para una famosa casa de antivirus, por la noche «soltaba» virus, y por el día iba al trabajo «a repararlos» 😀 Y los que hacen tu virus de hoy, son los que mañana harán tu antivirus, solo hay que echar un vistazo a las plantillas de las empresas de antivirus. ¡Venga bah, que todo esto ya viene de muy antiguo!
Me gusta mucho tu comparación con los virus biológicos y el cuerpo humano bianamaran. Es algo que nunca me había planteado y en lo que obviamente el sistema operativo tiene mucho que decir como bien apuntas. El problema es que eso implicaría reescribir Windows, OS/X, Linux y todo el software de la industria, lo cual es una tarea titánica. Si además lo enfrentamos a los intereses que bien dices, es comprensible que prefieran seguir como estamos.
Son 250 Mb., que se convierten en 320 Mb. una vez descomprimido –> Ojo, MB.
Tienes muchísima razón elreymon es un error que cometo desde los tiempos en que los Kilobytes eran Kb. hace ya muchos años. Esos 250 Mb. que se convierten en 320 Mb. deberían haber sido en realidad 250 MiB que se convierten en 320 MiB o sea mebibytes.
Lo intento, pero no me acostumbro a que los kilobytes sean kB en vez de Kb como antes, o que los megabytes sean MB en vez de Mb que serían megabits.
Hace unos 20 años comparaba los virus informáticos con los biológicos con una amiga enfermera… no resolvimos nada, pero estuvimos un buen rato hablando.
Es que en esa época Fernando los virus informáticos eran mucho más misteriosos que ahora. Por no hablar de hace 30 años en los que muchos (yo lo viví), dudaban de si serían capaz de infectar a las personas.
Como aspecto divertido, muchas técnicas, imitaban a la propia biología, mutaciones, reproducción, carga vírica…