Chaque archive téléchargée dans l'archive de fichiers du site est automatiquement envoyée à VirusTotal — un service qui passe le fichier à travers plusieurs dizaines de moteurs antivirus à la fois. Le rapport est ouvert : le lien vers celui-ci se trouve à côté de chaque bouton de téléchargement, et il montre le verdict de chaque moteur, y compris ceux dont nous ne tenons pas compte.

Ci-dessous — comment nous lisons ce rapport et pourquoi un fichier avec quelques détections peut être considéré comme sûr chez nous.

Auparavant, un fichier était bloqué à la moindre détection : si un moteur sur soixante-dix se déclenchait — le bouton « Télécharger » s'éteignait. La règle est simple, mais incorrecte, et voici pourquoi.

Les mods, les trainers et les localisateurs sont exactement le type de fichiers sur lequel les heuristiques antivirus se déclenchent le plus souvent : des fichiers exécutables compressés, des bibliothèques qui s'injectent dans un processus étranger, des chargeurs de scripts, des installateurs auto-extractibles. Tout cela, par des critères formels, ressemble à ce que fait un logiciel malveillant, — et une partie des moteurs réagit à un indice, et non à un comportement.

À quel point c'est bruyant, on le voit sur des exemples concrets de notre site. Voici quatre archives bloquées par l'ancienne règle, et qui les a marquées :

— mod pour Leon — 1 détection sur 68 : MaxSecure, signature Trojan. Malware.300983.susgen;

— mod pour Baldi's Basics — 1 détection sur 67 : MaxSecure, la même signature ;

— mod pour Plants vs. Zombies — 1 détection au moment du blocage, et au moment où nous avons examiné ce cas, il n'y avait déjà plus de détections pour le fichier : 0 sur 68.

Aucun de ces fichiers n'a suscité d'objections de la part de Microsoft Defender, Kaspersky, ESET ou Bitdefender. La règle « toute détection = blocage » dans ces cas n'a protégé personne — elle a simplement retiré des fichiers normaux du site.

Au lieu de compter les détections, nous regardons qui a signalé. Le droit de vote appartient aux fournisseurs avec leur propre moteur, qui passent régulièrement des certifications dans des laboratoires indépendants (AV-Comparatives, AV-TEST, SE Labs) et dont la part de faux positifs est mesurée là-bas.

Premier échelon. Une détection de l'un d'eux suffit pour bloquer le fichier :

• Microsoft Defender
• Kaspersky
• ESET NOD32
• Bitdefender

Deuxième échelon. Chacun donne une voix ; le fichier est bloqué si deux voix sont recueillies :

• Avast / AVG
• Sophos
• Trend Micro
• McAfee / Trellix
• Dr.Web
• Fortinet
• Malwarebytes
• Symantec / Norton
• Avira / F-Secure

Les clones comptent pour une voix. C'est un détail important : une partie des moteurs sur VirusTotal — c'est le même moteur sous une autre marque. Le moteur Bitdefender, par exemple, fonctionne à l'intérieur de GData, Emsisoft, Arcabit, MAX, VIPRE et eScan. Si on les compte séparément, un seul avis se transforme en six « détections » « indépendantes » et le fichier est bloqué par la voix d'un fournisseur. C'est pourquoi Avast et AVG chez nous — une voix, McAfee et Trellix — une voix, et ainsi de suite, tandis que les versions OEM des moteurs étrangers n'ont pas de droit de vote du tout.

Dans les rapports, cela est visible en texte clair. Dans l'un des archives que nous avons analysées, la signature Gen:Variant. Lazy.733688 — mot pour mot la même — a été délivrée par six « différents » antivirus : Bitdefender, ALYac, Arcabit, Emsisoft, GData et VIPRE. Ce ne sont pas six confirmations, mais une seule, imprimée six fois.

Les vendeurs qui ne figurent pas dans les listes ci-dessus n'influencent pas la décision. Leurs détections restent visibles dans le rapport VirusTotal — nous ne cachons rien, — mais le bouton de téléchargement n'est pas désactivé.

Un fichier est considéré comme non sécurisé et est bloqué si au moins une des conditions suivantes est remplie :

— le moteur de premier niveau l'a marqué comme malicious;

— ou au moins deux vendeurs de confiance (des deux niveaux ensemble) l'ont marqué comme malicious ou suspicious.

Dans tous les autres cas, le fichier reste accessible.

La règle n'est pas « plus douce » que l'ancienne — elle est plus précise. Ce même archive avec la signature répétée a obtenu 15 détections sur 64, et parmi elles se trouvaient Bitdefender, Fortinet et Malwarebytes : premier niveau plus deux voix du second. Il est bloqué selon la nouvelle règle aussi, et ce, selon l'une des deux conditions à la fois.

Un verdict unique suspicious ne bloque rien par lui-même. Ce n'est pas une affirmation « ici un virus », mais un résultat d'heuristique — « le fichier se comporte de manière inhabituelle », et sur les installateurs empaquetés et les traîneurs, c'est ce que l'on entend le plus souvent sur le mode normal.

Microsoft Defender est dans le premier niveau pour deux raisons à la fois. Il a l'une des plus faibles parts mesurées de faux positifs, et il est également installé sur la plupart de nos visiteurs : un fichier que Defender considère comme malveillant ne s'exécutera pas sur leur ordinateur — peu importe ce que nous pensons de ce verdict.

Le bouton de téléchargement s'éteint, l'auto-installation pour cette version devient indisponible, l'auteur reçoit un message personnel avec la liste des vendeurs de confiance qui ont marqué le fichier, et avec l'indication des signatures spécifiques. Le fichier n'est pas supprimé : l'auteur peut re-télécharger l'assemblage ou contester le verdict.

Si vous êtes l'auteur et que vous êtes sûr que la détection est fausse — écrivez-nous via retour d'information. Les faux positifs chez les grands vendeurs se produisent également, et ils sont pris en compte : chacun des vendeurs mentionnés ci-dessus a un formulaire pour soumettre un fichier pour réexamen.

Aucune vérification antivirus ne donne de garantie à 100 %, et la nôtre non plus. Cela signifie exactement ce qui est écrit ci-dessus : au moment de la vérification, aucun antivirus en qui nous avons confiance n'a considéré le fichier comme malveillant.

Les verdicts changent également avec le temps : les bases de données sont mises à jour, et un détection qui était valable hier peut disparaître aujourd'hui — c'est exactement ce qui est arrivé avec le mod de Plants vs. Zombies mentionné ci-dessus. Par conséquent, le chiffre dans le rapport sur VirusTotal et notre verdict peuvent également diverger en fonction de la date de vérification.

Le rapport VirusTotal pour chaque fichier est ouvert — vous pouvez toujours le consulter vous-même et vous faire votre propre opinion, y compris une opinion contraire à la nôtre. Nous recommandons de garder l'antivirus activé et de faire une sauvegarde des fichiers de jeu avant l'installation : le moyen le plus courant de ruiner votre jeu n'est pas un virus, mais un fichier incompatible.