Archivo de prueba EICAR

El archivo de prueba antivirus EICAR ^{[ 1 ]} o archivo de prueba EICAR es un archivo informático desarrollado por el Instituto Europeo de Investigación de Antivirus Informáticos (EICAR) y la Organización de Investigación de Antivirus Informáticos para probar la respuesta de los programas antivirus . ^{[ 2 ]} En lugar de utilizar malware real , que podría causar daños reales, este archivo permite probar el software antivirus de forma segura. ^{[ 3 ]}

Los programadores de antivirus configuran la cadena EICAR como un virus verificado, de forma similar a otras firmas identificadas. Un escáner de virus compatible, al detectar el archivo, responderá de manera similar a como lo haría si encontrara un virus dañino. No todos los escáneres de virus son compatibles y es posible que no detecten el archivo incluso estando configurados correctamente. Ni la forma en que se detecta el archivo ni la redacción con la que se marca están estandarizadas, y pueden diferir de la forma en que se marca el malware real, pero deberían impedir su ejecución siempre que cumpla con las estrictas especificaciones establecidas por EICAR. ^{[ 4 ]}

El uso de la cadena de prueba EICAR puede ser más versátil que la detección directa: un archivo que contiene la cadena de prueba EICAR puede comprimirse o archivarse , y luego ejecutarse el software antivirus para comprobar si detecta la cadena de prueba en el archivo comprimido. Muchas de las comprobaciones de configuración de funciones de AMTSO ^{[ 5 ]} se basan en la cadena de prueba EICAR. ^{[ 5 ]}

El archivo es un archivo de texto de entre 68 y 128 bytes ^{[ 6 ]} que es un archivo ejecutable .com legítimo ( código máquina x86 simple ) que puede ser ejecutado por MS-DOS , algunos sistemas similares y sus sucesores OS/2 y Windows (excepto en 64 bits debido a las limitaciones de 16 bits). El archivo de prueba EICAR imprimirá "¡EICAR-STANDARD-ANTIVIRUS-TEST-FILE!" al ejecutarse y luego se detendrá. La cadena de prueba fue escrita por los investigadores de antivirus Padgett Peterson y Paul Ducklin y diseñada para constar de caracteres ASCII legibles por humanos, fácilmente creados con un teclado de computadora estándar. ^{[ 7 ]} Utiliza código automodificable para sortear los problemas técnicos que esta restricción impone en la ejecución de la cadena de prueba. ^{[ 8 ]}

La cadena de prueba EICAR ^{[ 9 ]} dice

X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*

El tercer carácter es la letra mayúscula 'O' del alfabeto latino , no el dígito cero.

Según la especificación de EICAR, el antivirus detecta el archivo de prueba solo si comienza con la cadena de prueba de 68 bytes y no tiene más de 128  bytes de longitud. Por lo tanto, no se espera que los antivirus generen una alarma en algún otro documento que contenga la cadena de prueba. ^{[ 10 ]} El archivo de prueba aún puede usarse con fines maliciosos, aprovechando la reacción del software antivirus. Por ejemplo, una condición de carrera que involucra enlaces simbólicos puede provocar que los antivirus se eliminen a sí mismos. ^{[ 11 ]}

• GTUBE  : una prueba similar para correos electrónicos masivos no solicitados ( spam ).

• Sitio web oficial (también conocido como Grupo Europeo de Expertos en Seguridad Informática)
  • Archivo de prueba EICAR
• Un examen del programa de prueba AV estándar de EICAR. Análisis en lenguaje ensamblador del archivo de prueba de EICAR.
• Resultados de VirusTotal Antivirus tras escanear el archivo EICAR
• «Uso y mal uso de archivos de prueba en las pruebas de software malicioso» . Organización de Estándares para Pruebas de Software Malicioso. Archivado del original (PDF) el 16 de agosto de 2017.