Software antivirus

El primer virus informático conocido apareció en 1971 y fue denominado " virus Creeper ". ^{[ 2 ]} Este virus informático infectó las computadoras centrales PDP-10 de Digital Equipment Corporation ( DEC ) que ejecutaban el sistema operativo TENEX . ^{[ 3 ] [ 4 ]}

El virus Creeper fue finalmente eliminado por un programa creado por Ray Tomlinson y conocido como " The Reaper ". ^{[ 5 ]} Algunas personas consideran a "The Reaper" el primer software antivirus jamás escrito; puede que sea así, pero en realidad The Reaper era un virus diseñado específicamente para eliminar el virus Creeper. ^{[ 5 ] [ 6 ]}

Al virus Creeper le siguieron otros virus. El primero conocido que apareció "en la naturaleza" fue " Elk Cloner ", en 1981, que infectó a los ordenadores Apple II . ^{[ 7 ] [ 8 ] [ 9 ]}

En 1983, Fred Cohen acuñó el término "virus informático" en uno de los primeros artículos académicos publicados sobre virus informáticos . ^{[ 10 ]} Cohen utilizó el término "virus informático" para describir programas que: "afectan a otros programas informáticos modificándolos de tal manera que incluyen una copia (posiblemente evolucionada) de sí mismos". ^{[ 11 ]} (nótese que el investigador de seguridad húngaro Péter Szőr ha dado una definición más reciente de virus informático : "un código que replica recursivamente una copia posiblemente evolucionada de sí mismo" ). ^{[ 12 ] [ 13 ]}

El primer virus informático compatible con IBM PC que se propagó libremente, y una de las primeras infecciones realmente generalizadas, fue " Brain " en 1986. Desde entonces, el número de virus ha crecido exponencialmente. ^{[ 14 ] [ 15 ]} La mayoría de los virus informáticos escritos a principios y mediados de la década de 1980 se limitaban a la autorreproducción y no tenían una rutina de daño específica integrada en el código. Eso cambió cuando cada vez más programadores se familiarizaron con la programación de virus informáticos y crearon virus que manipulaban o incluso destruían datos en las computadoras infectadas. ^{[ 16 ]}

Antes de que la conectividad a internet se generalizara, los virus informáticos se propagaban típicamente a través de disquetes infectados . El software antivirus comenzó a utilizarse, pero se actualizaba con poca frecuencia. Durante este tiempo, los antivirus básicamente tenían que comprobar los archivos ejecutables y los sectores de arranque de los disquetes y discos duros. Sin embargo, a medida que el uso de internet se popularizó, los virus comenzaron a propagarse en línea. ^{[ 17 ]}

Existen diferentes versiones sobre quién fue el creador del primer producto antivirus. Posiblemente, la primera eliminación documentada públicamente de un virus informático "en circulación" (el "virus de Viena") fue realizada por Bernd Fix en 1987. ^{[ 18 ] [ 19 ]}

En 1985, en el Reino Unido, Jan Hruska y Peter Lammer fundaron la empresa de seguridad Sophos y comenzaron a producir sus primeros productos antivirus y de cifrado. En ese mismo período, en Hungría, se fundó VirusBuster (que posteriormente fue incorporada por Sophos ). ^{[ 20 ]}

En 1987, Andreas Lüning y Kai Figge, quienes fundaron G Data Software en 1985, lanzaron su primer producto antivirus para la plataforma Atari ST . ^{[ 21 ]} En 1987, también se lanzó Ultimate Virus Killer (UVK) . ^{[ 22 ]} Este fue el antivirus estándar de facto de la industria para Atari ST y Atari Falcon , cuya última versión (versión 9.0) se lanzó en abril de 2004. ^{[ 23 ] [ 24 ]} En 1987, en Estados Unidos, John McAfee fundó la compañía McAfee y, a finales de ese año, lanzó la primera versión de VirusScan . ^{[ 25 ]} También en 1987 (en Checoslovaquia ), Peter Paško, Rudolf Hrubý y Miroslav Trnka crearon la primera versión del antivirus NOD . ^{[ 26 ] [ 27 ]}

En 1987, Fred Cohen escribió que no existe ningún algoritmo que pueda detectar perfectamente todos los posibles virus informáticos . ^{[ 28 ]}

Finalmente, a finales de 1987, se lanzaron las dos primeras utilidades antivirus heurísticas : Flushot Plus de Ross Greenberg ^{[ 29 ] [ 30 ] [ 31 ]} y Anti4us de Erwin Lanting. ^{[ 32 ]} En su libro de O'Reilly , Malicious Mobile Code: Virus Protection for Windows , Roger Grimes describió Flushot Plus como "el primer programa holístico para combatir el código móvil malicioso (MMC)". ^{[ 33 ]}

Sin embargo, el tipo de heurística que utilizaban los primeros motores AV era totalmente diferente de los que se usan hoy en día. El primer producto con un motor heurístico similar a los modernos fue F-PROT en 1991. ^{[ 34 ]} Los primeros motores heurísticos se basaban en dividir el binario en diferentes secciones: sección de datos, sección de código (en un binario legítimo, suele comenzar siempre desde la misma ubicación). De hecho, los virus iniciales reorganizaban la disposición de las secciones o sobrescribían la parte inicial de una sección para saltar al final del archivo donde se encontraba el código malicioso, y solo volvían para reanudar la ejecución del código original. Este era un patrón muy específico, que no utilizaba en ese momento ningún software legítimo, y que representaba una heurística elegante para detectar código sospechoso. Posteriormente se añadieron otros tipos de heurísticas más avanzadas, como nombres de sección sospechosos, tamaño de encabezado incorrecto, expresiones regulares y coincidencia parcial de patrones en memoria.

En 1988, el crecimiento de las empresas de antivirus continuó. En Alemania, Tjark Auerbach fundó Avira ( H+BEDV en ese momento) y lanzó la primera versión de AntiVir (llamada "Luke Filewalker" en ese momento). En España, Carlos Jiménez lanzó la primera versión de su antivirus (fundó Anyware Seguridad Informática, ahora parte de McAfee, un año después). ^{[ 35 ] [ 36 ]} En Bulgaria , Vesselin Bontchev lanzó su primer programa antivirus gratuito (más tarde se unió a FRISK Software ). También Frans Veldman lanzó la primera versión de ThunderByte Antivirus , también conocido como TBAV (vendió su empresa a Norman Safeground en 1998). En Checoslovaquia , Pavel Baudiš y Eduard Kučera fundaron Avast Software (en ese momento ALWIL Software ) y lanzaron su primera versión del antivirus avast!. En junio de 1988, en Corea del Sur , Ahn Cheol-Soo lanzó su primer software antivirus, llamado V1 (fundó AhnLab más tarde, en 1995). Finalmente, en otoño de 1988, en el Reino Unido, Alan Solomon fundó S&S International y creó su Dr. Solomon's Anti-Virus Toolkit (aunque no lo lanzó comercialmente hasta 1991; en 1998, la empresa de Solomon fue adquirida por McAfee , entonces conocida como Network Associates Inc.).

También en 1988, se creó una lista de correo llamada VIRUS-L ^{[ 37 ]} en la red BITNET / EARN donde se discutían nuevos virus y las posibilidades de detectarlos y eliminarlos. Algunos miembros de esta lista de correo fueron: Alan Solomon, Eugene Kaspersky ( Kaspersky Lab ), Friðrik Skúlason ( FRISK Software ), John McAfee ( McAfee ), Luis Corrons ( Panda Security ), Mikko Hyppönen ( F-Secure ), Péter Szőr , Tjark Auerbach ( Avira ) y Vesselin Bontchev ( FRISK Software ). ^{[ 37 ]}

En 1989, en Islandia , Friðrik Skúlason creó la primera versión del antivirus F-PROT (fundó FRISK Software recién en 1993). Mientras tanto, en Estados Unidos, Symantec (fundada por Gary Hendrix en 1982) lanzó su primer antivirus Symantec para Macintosh (SAM). ^{[ 38 ] [ 39 ]} SAM 2.0, lanzado en marzo de 1990, incorporó tecnología que permitía a los usuarios actualizar fácilmente SAM para interceptar y eliminar nuevos virus, incluyendo muchos que no existían en el momento del lanzamiento del programa. ^{[ 40 ]}

En 1990, en España, Mikel Urizarbarrena fundó Panda Security ( en aquel entonces Panda Software ). ^{[ 41 ]} En Hungría, el investigador de seguridad Péter Szőr lanzó la primera versión del antivirus Pasteur .

En 1990, se fundó la Computer Antivirus Research Organization ( CARO ). En 1991, CARO publicó el "Virus Naming Scheme" , escrito originalmente por Friðrik Skúlason y Vesselin Bontchev. ^{[ 42 ]} Aunque este esquema de nomenclatura está obsoleto, sigue siendo el único estándar existente que la mayoría de las empresas e investigadores de seguridad informática han intentado adoptar. Los miembros de CARO incluyen: Alan Solomon, Costin Raiu, Dmitry Gryaznov, Eugene Kaspersky , Friðrik Skúlason , Igor Muttik , Mikko Hyppönen , Morton Swimmer, Nick FitzGerald, Padgett Peterson , Peter Ferrie, Righard Zwienenberg y Vesselin Bontchev. ^{[ 43 ] [ 44 ]}

En 1991, en Estados Unidos, Symantec lanzó la primera versión de Norton AntiVirus . Ese mismo año, en la República Checa , Jan Gritzbach y Tomáš Hofer fundaron AVG Technologies ( Grisoft en aquel entonces), mientras que en Italia , Gianfranco Tonello fundó TG Soft , aunque ambas compañías lanzaron la primera versión de sus productos antivirus ( Anti-Virus Guard (AVG) y VirIT eXplorer ) recién entre 1992 y 1993. Por otro lado, en Finlandia , F-Secure (fundada en 1988 por Petri Allas y Risto Siilasmaa, con el nombre de Data Fellows) lanzó la primera versión de su producto antivirus. F-Secure afirma ser la primera empresa de antivirus en establecerse en la World Wide Web. ^{[ 45 ]}

En 1991, se fundó el Instituto Europeo de Investigación de Antivirus Informáticos (EICAR) para impulsar la investigación sobre antivirus y mejorar el desarrollo de software antivirus. ^{[ 46 ] [ 47 ]}

En 1992, en Rusia, Igor Danilov lanzó la primera versión de SpiderWeb , que más tarde se convirtió en Dr.Web . ^{[ 48 ]}

En 1994, AV-TEST informó que había 28.613 muestras únicas de malware (basadas en MD5) en su base de datos. ^{[ 49 ]}

Con el tiempo se fundaron otras empresas. En 1996, en Rumania , se fundó Bitdefender y se lanzó la primera versión de Anti-Virus eXpert (AVX). ^{[ 50 ]} En 1997, en Rusia, Eugene Kaspersky y Natalya Kaspersky cofundaron la empresa de seguridad Kaspersky Lab . ^{[ 51 ]}

En 1996, también apareció el primer virus Linux "en estado salvaje" , conocido como " Staog " . ^{[ 52 ]}

En 1999, AV-TEST informó que había 98.428 muestras únicas de malware (basadas en MD5) en su base de datos. ^{[ 49 ]}

En 2000, Rainer Link y Howard Fuhs iniciaron el primer motor antivirus de código abierto, llamado OpenAntivirus Project . ^{[ 53 ]}

En 2001, Tomasz Kojm lanzó la primera versión de ClamAV , el primer motor antivirus de código abierto en ser comercializado. En 2007, ClamAV fue comprado por Sourcefire , ^{[ 54 ]} que a su vez fue adquirido por Cisco Systems en 2013. ^{[ 55 ]}

En 2002, en el Reino Unido, Morten Lund y Theis Søndergaard cofundaron la empresa de antivirus BullGuard. ^{[ 56 ]}

En 2005, AV-TEST informó que había 333.425 muestras únicas de malware (basadas en MD5) en su base de datos. ^{[ 49 ]}

En 2007, AV-TEST informó de un número de 5.490.960 nuevas muestras únicas de malware (basadas en MD5) solo para ese año. ^{[ 49 ]} En 2012 y 2013, las empresas de antivirus informaron de un rango de nuevas muestras de malware de 300.000 a más de 500.000 por día. ^{[ 57 ] [ 58 ]}

Con el paso de los años, se ha vuelto necesario que el software antivirus utilice diversas estrategias (por ejemplo, protección específica para correo electrónico y redes o módulos de bajo nivel) y algoritmos de detección, así como que revise una variedad cada vez mayor de archivos, en lugar de solo los ejecutables, por varias razones:

• Las potentes macros utilizadas en procesadores de texto , como Microsoft Word , presentaban un riesgo. Los creadores de virus podían utilizarlas para insertar virus en los documentos. Esto significaba que los ordenadores también podían infectarse al abrir documentos con macros ocultas. ^{[ 59 ]}
• La posibilidad de incrustar objetos ejecutables dentro de formatos de archivo que de otro modo no serían ejecutables puede hacer que abrir esos archivos sea un riesgo. ^{[ 60 ]}
• Los programas de correo electrónico posteriores, en particular Outlook Express y Outlook de Microsoft , eran vulnerables a virus incrustados en el propio cuerpo del correo. El ordenador de un usuario podía infectarse simplemente abriendo o previsualizando un mensaje. ^{[ 61 ]}

En 2005, F-Secure fue la primera empresa de seguridad que desarrolló una tecnología anti-rootkit, llamada BlackLight .

Debido a que la mayoría de los usuarios suelen estar conectados a Internet de forma continua, Jon Oberheide propuso por primera vez un diseño de antivirus basado en la nube en 2008. ^{[ 62 ]}

En febrero de 2008, McAfee Labs añadió a VirusScan la primera funcionalidad antimalware basada en la nube del sector, denominada Artemis. Fue probada por AV-Comparatives en febrero de 2008 ^{[ 63 ]} y presentada oficialmente en agosto de 2008 en McAfee VirusScan . ^{[ 64 ]}

El antivirus en la nube generó problemas para las pruebas comparativas de software de seguridad: parte de las definiciones del antivirus escapaban al control de los evaluadores (al estar en servidores de la compañía antivirus que se actualizaban constantemente), lo que hacía que los resultados no fueran repetibles. Como resultado, la Organización de Estándares de Pruebas Antimalware (AMTSO) comenzó a trabajar en un método para probar productos en la nube, el cual fue adoptado el 7 de mayo de 2009. ^{[ 65 ]}

En 2011, AVG introdujo un servicio en la nube similar, llamado Protective Cloud Technology. ^{[ 66 ]}

Tras la publicación en 2013 del informe APT 1 de Mandiant , la industria ha experimentado un cambio hacia enfoques sin firma para abordar el problema, capaces de detectar y mitigar ataques de día cero . ^{[ 67 ]} Han surgido numerosos enfoques para hacer frente a estas nuevas formas de amenazas, incluyendo la detección de comportamiento, la inteligencia artificial, el aprendizaje automático y la detección de archivos basada en la nube. Según Gartner, se espera que el surgimiento de nuevos participantes, como Carbon Black , Cylance y Crowdstrike, obligue a los proveedores de protección de endpoints a entrar en una nueva fase de innovación y adquisiciones. ^{[ 68 ]}

Un método de Bromium implica la microvirtualización para proteger los escritorios de la ejecución de código malicioso iniciado por el usuario final. Otro enfoque de SentinelOne y Carbon Black se centra en la detección de comportamiento mediante la creación de un contexto completo alrededor de cada ruta de ejecución de procesos en tiempo real, ^{[ 69 ] [ 70 ]} mientras que Cylance aprovecha un modelo de inteligencia artificial basado en aprendizaje automático. ^{[ 71 ]}

Cada vez más, estos enfoques sin firmas han sido definidos por los medios y las firmas de análisis como antivirus de "próxima generación" ^{[ 72 ]} y están experimentando una rápida adopción en el mercado como tecnologías de reemplazo de antivirus certificadas por empresas como Coalfire y DirectDefense. ^{[ 73 ]} En respuesta, los proveedores de antivirus tradicionales como Trend Micro , ^{[ 74 ]} Symantec y Sophos ^{[ 75 ]} han respondido incorporando ofertas de "próxima generación" a sus carteras, mientras que firmas de análisis como Forrester y Gartner han calificado al antivirus tradicional basado en firmas como "ineficaz" y "obsoleto". ^{[ 76 ]}

Desde Windows 8 , Windows incluye su propia protección antivirus gratuita bajo la marca Windows Defender . A pesar de los malos resultados de detección en sus inicios, AV-Test ahora certifica a Defender como uno de sus mejores productos. ^{[ 77 ] [ 78 ]} Si bien no se sabe públicamente cómo afectó la inclusión de software antivirus en Windows a las ventas de antivirus, el tráfico de búsquedas de Google para antivirus ha disminuido significativamente desde 2010. ^{[ 79 ]} En 2014, Intel compró McAfee. ^{[ 80 ]}

Desde 2016, se ha producido una notable consolidación en el sector. Avast compró AVG en 2016 por 1300 millones de dólares. ^{[ 81 ]} Avira fue adquirida por Gen Digital (entonces NortonLifeLock), propietaria de Norton, en 2020 por 360 millones de dólares. ^{[ 82 ]} En 2021, la división Avira de Gen Digital adquirió BullGuard. ^{[ 83 ]} La marca BullGuard se descontinuó en 2022 y sus clientes migraron a Norton. En 2022, Gen Digital adquirió Avast, consolidando así cuatro importantes marcas de antivirus bajo un mismo propietario. ^{[ 84 ]}

En septiembre de 2024, tras la prohibición impuesta por el Departamento de Comercio de EE. UU. a Kaspersky , Pango Group adquirió a sus clientes (aproximadamente 1 millón). ^{[ 85 ]} Los clientes continuaron recibiendo servicios sin necesidad de realizar ninguna acción. Posteriormente, en diciembre de 2024, Pango Group se fusionó con Total Security, proveedor del antivirus Total AV. La entidad resultante, ahora llamada Point Wild, tiene un valor empresarial de 1700 millones de dólares. ^{[ 86 ]}

En 2024, más de la mitad de los estadounidenses utilizaban protección antivirus integrada en sus dispositivos, como Microsoft Defender o XProtect de Apple . Sin embargo, alrededor de 121 millones de adultos aún utilizaban software antivirus de terceros. La mitad de estos adultos utilizaban productos de pago, y aproximadamente el 50 % de los usuarios de software de terceros eran propietarios de ordenadores personales y sistemas operativos Windows . ^{[ 87 ]} El 17 % de los adultos utilizaba programas antivirus en dispositivos móviles. ^{[ 88 ]}

El informe del mercado de antivirus de 2025 confirma que la mayoría de los usuarios de antivirus de terceros utilizan dispositivos de escritorio y tienen entre 35 y 45 años. En cambio, los usuarios más jóvenes (de 18 a 25 años) tienden a usar bloqueadores de anuncios . En Estados Unidos, en promedio, entre el 75 % y el 85 % de las personas usan software antivirus u otra forma de protección en al menos un dispositivo. El software antivirus para ordenadores y dispositivos móviles es utilizado principalmente por residentes de grandes ciudades. Los usuarios de dispositivos móviles suelen recurrir a gestores de contraseñas en lugar de software antivirus para su seguridad digital. Además, la mayoría de los usuarios de gestores de contraseñas viven en ciudades medianas y pequeñas. ^{[ 89 ]}

El software antivirus tradicional se basa en gran medida en firmas para identificar el malware. ^{[ 96 ]}

Básicamente, cuando una muestra de malware llega a manos de una empresa antivirus, es analizada por investigadores de malware o por sistemas de análisis dinámico. Luego, una vez que se determina que es malware, se extrae una firma adecuada del archivo y se agrega a la base de datos de firmas del software antivirus. ^{[ 97 ]}

Aunque el enfoque basado en firmas puede contener eficazmente los brotes de malware, los autores de malware han intentado adelantarse a este tipo de software escribiendo virus " oligomórficos ", " polimórficos " y, más recientemente, " metamórficos ", que cifran partes de sí mismos o se modifican de alguna otra manera como método de disfraz, para no coincidir con las firmas de virus en el diccionario. ^{[ 98 ]}

Muchos virus comienzan como una sola infección y, mediante mutaciones o modificaciones por parte de otros atacantes, pueden convertirse en docenas de cepas ligeramente diferentes, llamadas variantes. La detección genérica se refiere a la detección y eliminación de múltiples amenazas utilizando una única definición de virus. ^{[ 99 ]}

Por ejemplo, el troyano Vundo tiene varios miembros de la familia, según la clasificación del proveedor de antivirus. Symantec clasifica a los miembros de la familia Vundo en dos categorías distintas: Trojan.Vundo y Trojan.Vundo.B . ^{[ 100 ] [ 101 ]}

Si bien puede ser ventajoso identificar un virus específico, puede ser más rápido detectar una familia de virus mediante una firma genérica o mediante una coincidencia inexacta con una firma existente. Los investigadores de virus encuentran áreas comunes que todos los virus de una familia comparten de forma única y, por lo tanto, pueden crear una única firma genérica. Estas firmas a menudo contienen código no contiguo, utilizando caracteres comodín donde existen diferencias. Estos comodines permiten que el escáner detecte virus incluso si están rellenos con código adicional sin sentido. ^{[ 102 ]} Una detección que utiliza este método se denomina "detección heurística".

El software antivirus puede intentar buscar rootkits. Un rootkit es un tipo de malware diseñado para obtener control administrativo sobre un sistema informático sin ser detectado. Los rootkits pueden modificar el funcionamiento del sistema operativo y, en algunos casos, interferir con el programa antivirus, dejándolo ineficaz. Además, los rootkits son difíciles de eliminar, requiriendo en ocasiones una reinstalación completa del sistema operativo. ^{[ 103 ]}

La protección en tiempo real, el escaneo en acceso, la protección en segundo plano, el escudo residente, la autoprotección y otros sinónimos se refieren a la protección automática que ofrecen la mayoría de los programas antivirus, antispyware y otros programas antimalware. Esto supervisa los sistemas informáticos en busca de actividad sospechosa, como virus informáticos, spyware, adware y otros objetos maliciosos. La protección en tiempo real detecta amenazas en los archivos abiertos y escanea las aplicaciones en tiempo real a medida que se instalan en el dispositivo. ^{[ 104 ]} Al insertar un CD, abrir un correo electrónico o navegar por la web, o cuando se abre o ejecuta un archivo que ya está en el equipo. ^{[ 105 ]}

El aprendizaje automático se ha consolidado como un método de detección fundamental en el software antivirus moderno, utilizando algoritmos entrenados con grandes conjuntos de datos para clasificar el software como malicioso o benigno. Los enfoques basados ​​en ML son diversos, pero los detectores suelen extraer características de los archivos, como secuencias de llamadas a la API, n-gramas de bytes, distribuciones de códigos de operación, características de comportamiento o incluso bytes sin procesar, y entrenan clasificadores para identificar malware basándose en patrones aprendidos a partir de estos datos. ^{[ 106 ]}

La detección basada en ML puede ser muy eficaz, pero aún enfrenta desafíos importantes. La deriva conceptual ocurre a medida que el malware evoluciona continuamente, lo que provoca que la precisión de los modelos entrenados disminuya con el tiempo si no se reentrenan regularmente con muestras nuevas. ^{[ 107 ]} Las investigaciones han demostrado que incluso técnicas de ofuscación simples pueden crear variantes adversarias que eluden los detectores basados ​​en ML al tiempo que preservan la funcionalidad maliciosa. ^{[ 108 ]} Además, la naturaleza altamente desequilibrada de los datos del mundo real, donde los archivos benignos superan ampliamente en número a los maliciosos, dificulta la adquisición de datos de entrenamiento y requiere un ajuste cuidadoso para evitar tasas inaceptables de falsos positivos. ^{[ 109 ]}

Algunos contratos de licencia de usuario final de software antivirus comercial incluyen una cláusula que estipula que la suscripción se renovará automáticamente y se cargará automáticamente a la tarjeta de crédito del comprador en el momento de la renovación, sin necesidad de aprobación explícita. Por ejemplo, McAfee exige a los usuarios que cancelen su suscripción al menos 60 días antes de la expiración de la suscripción actual, ^{[ 110 ]} mientras que Bitdefender envía notificaciones para cancelar la suscripción 30 días antes de la renovación. ^{[ 111 ]} Norton AntiVirus también renueva las suscripciones automáticamente por defecto. ^{[ 112 ]}

Algunos programas antivirus aparentes son en realidad malware disfrazado de software legítimo, como WinFixer , MS Antivirus y Mac Defender . ^{[ 113 ]}

Un «falso positivo» o «falsa alarma» se produce cuando un software antivirus identifica un archivo no malicioso como malware. Cuando esto sucede, puede causar graves problemas. Por ejemplo, si un programa antivirus está configurado para eliminar o poner en cuarentena inmediatamente los archivos infectados, como suele ocurrir en las aplicaciones antivirus de Microsoft Windows , un falso positivo en un archivo esencial puede dejar inutilizable el sistema operativo Windows o algunas aplicaciones. ^{[ 114 ]} La recuperación de este tipo de daños a la infraestructura de software crítica conlleva costes de soporte técnico y las empresas pueden verse obligadas a cerrar mientras se llevan a cabo las medidas correctivas. ^{[ 115 ] [ 116 ]}

Ejemplos de falsos positivos graves:

• Mayo de 2007: una firma de virus defectuosa emitida por Symantec eliminó por error archivos esenciales del sistema operativo, dejando a miles de PC incapaces de arrancar . ^{[ 117 ]}
• Mayo de 2007: el archivo ejecutable requerido por Pegasus Mail en Windows fue detectado erróneamente por Norton AntiVirus como un troyano y se eliminó automáticamente, impidiendo que Pegasus Mail se ejecutara. Norton AntiVirus había identificado erróneamente tres versiones de Pegasus Mail como malware y eliminaba el archivo de instalación de Pegasus Mail cuando esto sucedía. ^{[ 118 ]} En respuesta a esto, Pegasus Mail declaró:

Dado que Norton/Symantec ha hecho esto con cada una de las últimas tres versiones de Pegasus Mail, solo podemos condenar este producto por ser demasiado defectuoso para su uso y recomendar encarecidamente a nuestros usuarios que dejen de usarlo y opten por paquetes antivirus alternativos con menos errores. ^{[ 118 ]}

• Abril de 2010: McAfee VirusScan detectó svchost.exe, un binario normal de Windows, como un virus en máquinas que ejecutaban Windows XP con Service Pack 3, lo que provocó un bucle de reinicio y la pérdida de todo el acceso a la red. ^{[ 119 ] [ 120 ]}
• Diciembre de 2010: una actualización defectuosa del paquete antivirus AVG dañó las versiones de 64 bits de Windows 7 , impidiendo su arranque debido a un bucle de arranque infinito. ^{[ 121 ]}
• Octubre de 2011: Microsoft Security Essentials (MSE) eliminó el navegador web Google Chrome , rival del propio Internet Explorer de Microsoft . MSE marcó a Chrome como un troyano bancario Zbot . ^{[ 122 ]}
• Septiembre de 2012: El paquete antivirus de Sophos identificó varios mecanismos de actualización, incluido el suyo propio, como malware. Si estaba configurado para eliminar automáticamente los archivos detectados, Sophos Antivirus podía quedar incapacitado para actualizarse y requería intervención manual para solucionar el problema. ^{[ 123 ] [ 124 ]}
• Septiembre de 2017: el antivirus Google Play Protect comenzó a identificar la aplicación Bluetooth Moto G4 de Motorola como malware, lo que provocó la desactivación de la funcionalidad Bluetooth. ^{[ 125 ]}
• Septiembre de 2022: Microsoft Defender marcó como una grave amenaza a todos los navegadores web basados ​​en Chromium y a las aplicaciones basadas en Electron, como WhatsApp, Discord y Spotify. ^{[ 126 ]}

Ejecutar (la protección en tiempo real de) varios programas antivirus simultáneamente puede degradar el rendimiento y crear conflictos. ^{[ 127 ]} Sin embargo, utilizando un concepto llamado multiescaneo , varias empresas (incluidas G Data Software ^{[ 128 ]} y Microsoft ^{[ 129 ]} ) han creado aplicaciones que pueden ejecutar varios motores simultáneamente.

A veces es necesario desactivar temporalmente la protección antivirus al instalar actualizaciones importantes, como los Service Packs de Windows o al actualizar los controladores de la tarjeta gráfica. ^{[ 130 ]} La protección antivirus activa puede impedir parcial o totalmente la instalación de una actualización importante. El software antivirus puede causar problemas durante la instalación de una actualización del sistema operativo, por ejemplo, al actualizar a una versión más reciente de Windows "en el mismo lugar", sin borrar la versión anterior de Windows. Microsoft recomienda desactivar el software antivirus para evitar conflictos con el proceso de instalación de la actualización. ^{[ 131 ] [ 132 ] [ 133 ]} El software antivirus activo también puede interferir con un proceso de actualización de firmware . ^{[ 134 ]}

La funcionalidad de algunos programas informáticos puede verse afectada por el software antivirus activo. Por ejemplo, TrueCrypt , un programa de cifrado de disco, indica en su página de solución de problemas que los programas antivirus pueden entrar en conflicto con TrueCrypt y provocar que funcione mal o muy lentamente. ^{[ 135 ]} El software antivirus puede perjudicar el rendimiento y la estabilidad de los juegos que se ejecutan en la plataforma Steam . ^{[ 136 ]}

También existen problemas de compatibilidad con la interoperabilidad de las aplicaciones antivirus con soluciones comunes como el acceso remoto SSL VPN y los productos de control de acceso a la red . ^{[ 137 ]} Estas soluciones tecnológicas suelen tener aplicaciones de evaluación de políticas que requieren que el antivirus esté instalado y en funcionamiento. Si la aplicación antivirus no es reconocida por la evaluación de políticas, ya sea porque se ha actualizado o porque no forma parte de la biblioteca de evaluación de políticas, el usuario no podrá conectarse.

Estudios de diciembre de 2007 mostraron que la efectividad del software antivirus había disminuido el año anterior, particularmente contra ataques desconocidos o de día cero . La revista informática c't descubrió que las tasas de detección de estas amenazas habían caído del 40-50% en 2006 al 20-30% en 2007. En ese momento, la única excepción fue el antivirus NOD32 , que logró una tasa de detección del 68%. ^{[ 138 ]} Según el sitio web de seguimiento de ZeuS, la tasa de detección promedio para todas las variantes del troyano ZeuS es tan baja como el 40%. ^{[ 139 ]}

El problema se agrava por el cambio en la intención de los creadores de virus. Hace algunos años, era obvio cuando había una infección por virus. En aquel entonces, los virus eran creados por aficionados y presentaban un comportamiento destructivo o ventanas emergentes . Los virus modernos suelen ser creados por profesionales, financiados por organizaciones criminales . ^{[ 140 ]}

En 2008, Eva Chen , CEO de Trend Micro , afirmó que la industria antivirus había exagerado la eficacia de sus productos —y, por lo tanto, había estado engañando a los clientes— durante años. ^{[ 141 ]}

Las pruebas independientes realizadas a los principales antivirus demuestran de forma consistente que ninguno ofrece una detección de virus del 100 %. Los mejores alcanzaron hasta un 99,9 % de detección en situaciones simuladas del mundo real, mientras que los de menor rendimiento obtuvieron un 91,1 % en las pruebas realizadas en agosto de 2013. Muchos antivirus también generan falsos positivos, identificando archivos inofensivos como malware. ^{[ 142 ]}

Aunque los métodos pueden variar, algunas agencias de pruebas de calidad independientes destacadas incluyen AV-Comparatives , ICSA Labs , SE Labs, West Coast Labs, Virus Bulletin , AV-TEST y otros miembros de la Organización de Estándares de Pruebas Antimalware . ^{[ 143 ] [ 144 ]}

Los programas antivirus no siempre son eficaces contra los virus nuevos, incluso aquellos que utilizan métodos no basados ​​en firmas que deberían detectarlos. Esto se debe a que los creadores de virus prueban sus nuevos virus en las principales aplicaciones antivirus para asegurarse de que no sean detectados antes de distribuirlos. ^{[ 145 ]}

Algunos virus nuevos, en particular el ransomware , utilizan código polimórfico para evitar ser detectados por los escáneres de virus. Jerome Segura, analista de seguridad de ParetoLogic, explicó: ^{[ 146 ]}

Es algo que se les escapa muchas veces porque este tipo de [virus ransomware] proviene de sitios que utilizan polimorfismo, lo que significa que básicamente aleatorizan el archivo que envían y logra burlar fácilmente los antivirus más conocidos. He visto de primera mano cómo personas se infectan, con todas las ventanas emergentes, y aun así tienen el antivirus funcionando y no detecta nada. De hecho, puede ser bastante difícil eliminarlo, y nunca se sabe con certeza si realmente ha desaparecido. Cuando vemos algo así, solemos recomendar reinstalar el sistema operativo o las copias de seguridad. ^{[ 146 ]}

Un virus de prueba de concepto ha utilizado la Unidad de Procesamiento Gráfico (GPU) para evitar ser detectado por el software antivirus. El éxito potencial de esto radica en eludir la CPU para dificultar considerablemente que los investigadores de seguridad analicen el funcionamiento interno de dicho malware. ^{[ 147 ]}

Detectar rootkits representa un gran desafío para los programas antivirus. Los rootkits tienen acceso administrativo completo al equipo, son invisibles para los usuarios y no aparecen en la lista de procesos en ejecución del administrador de tareas . Pueden modificar el funcionamiento interno del sistema operativo y manipular los programas antivirus. ^{[ 148 ]}

Si un archivo ha sido infectado por un virus informático, el software antivirus intentará eliminar el código del virus del archivo durante la desinfección, pero no siempre puede restaurar el archivo a su estado original. ^{[ 149 ] [ 150 ]} En tales circunstancias, los archivos dañados solo pueden restaurarse a partir de copias de seguridad existentes o copias de instantáneas (esto también es cierto para el ransomware ^{[ 151 ]} ); el software instalado que está dañado requiere reinstalación ^{[ 152 ]} (sin embargo, consulte el Comprobador de archivos del sistema ).

Cualquier firmware modificable en la computadora puede infectarse con código malicioso. ^{[ 153 ]} Esto es una preocupación importante, ya que una BIOS infectada podría requerir el reemplazo del chip BIOS para asegurar la eliminación completa del código malicioso. ^{[ 154 ]} El software antivirus no es eficaz para proteger el firmware y la BIOS de la placa base contra infecciones. ^{[ 155 ]} En 2014, investigadores de seguridad descubrieron que los dispositivos USB contienen firmware modificable que puede ser alterado con código malicioso (denominado "BadUSB"), que el software antivirus no puede detectar ni prevenir. El código malicioso puede ejecutarse sin ser detectado en la computadora e incluso podría infectar el sistema operativo antes de su arranque. ^{[ 156 ] [ 157 ]}

Los cortafuegos de red impiden que programas y procesos desconocidos accedan al sistema. Sin embargo, no son antivirus y no intentan identificar ni eliminar nada. Pueden proteger contra infecciones externas al equipo o red protegidos y limitar la actividad de cualquier software malicioso presente bloqueando las solicitudes entrantes y salientes en determinados puertos TCP/IP . Un cortafuegos está diseñado para hacer frente a amenazas más generales del sistema que provienen de las conexiones de red y no sustituye a un sistema de protección antivirus.

El antivirus en la nube es una tecnología que utiliza software agente ligero en el ordenador protegido, mientras que descarga la mayor parte del análisis de datos a la infraestructura del proveedor. ^{[ 163 ]}

Un enfoque para implementar antivirus en la nube implica escanear archivos sospechosos utilizando múltiples motores antivirus. Este enfoque fue propuesto por una implementación temprana del concepto de antivirus en la nube llamada CloudAV. CloudAV fue diseñado para enviar programas o documentos a una nube de red donde se utilizan simultáneamente múltiples programas antivirus y de detección de comportamiento para mejorar las tasas de detección. El escaneo paralelo de archivos utilizando escáneres antivirus potencialmente incompatibles se logra mediante la creación de una máquina virtual por cada motor de detección, eliminando así cualquier posible problema. CloudAV también puede realizar una "detección retrospectiva", mediante la cual el motor de detección en la nube vuelve a escanear todos los archivos en su historial de acceso cuando se identifica una nueva amenaza, mejorando así la velocidad de detección de nuevas amenazas. Finalmente, CloudAV es una solución para el escaneo eficaz de virus en dispositivos que carecen de la potencia de procesamiento necesaria para realizar los escaneos por sí mismos. ^{[ 164 ]}

Algunos ejemplos de productos antivirus en la nube son Panda Cloud Antivirus e Immunet . Comodo Group también ha producido antivirus basados ​​en la nube. ^{[ 165 ] [ 166 ]}

Algunos proveedores de antivirus mantienen sitios web con capacidad de escaneo en línea gratuito de todo el equipo, solo áreas críticas, discos locales, carpetas o archivos. El escaneo en línea periódico es una buena idea para quienes usan aplicaciones antivirus en sus computadoras, ya que estas aplicaciones suelen ser lentas para detectar amenazas. Una de las primeras cosas que hace el software malicioso en un ataque es deshabilitar cualquier software antivirus existente y, a veces, la única forma de saber de un ataque es recurrir a un recurso en línea que no está instalado en la computadora infectada. ^{[ 167 ]}

La tecnología de Desarme y Reconstrucción de Contenido (CDR) protege una red contra el malware eliminando los componentes de los archivos entrantes que no cumplen rigurosamente con los estándares de ese tipo de archivo. Para ello, reconstruye los archivos originales sin ningún componente ilegítimo. Parte del proceso CDR también puede incluir la compresión y conversión de los archivos reconstruidos al formato PDF ( Portable Document Format ) para una máxima seguridad.

La eliminación de malware mediante CDR no intenta identificar el comportamiento del malware antes de actuar; en cambio, emplea un enfoque de confianza cero contra los archivos que ingresan al perímetro de la red. Esto puede convertirla en una solución eficaz para proteger las redes contra vulnerabilidades de día cero . ^{[ 168 ]}

Existen herramientas de eliminación de virus que ayudan a eliminar infecciones persistentes o un tipo específico de infección. Algunos ejemplos son la Herramienta de eliminación de software malintencionado de Windows , ^{[ 169 ]} la Herramienta de eliminación de virus de Kaspersky [ ^{170 ]} y Sophos Scan & Clean . ^{[ 171 ] Cabe destacar que, en ocasiones ,} el software antivirus puede generar un falso positivo, indicando una infección donde no la hay. ^{[ 172 ]}

Un disco de rescate de arranque, como un CD o una unidad USB, puede utilizarse para ejecutar software antivirus fuera del sistema operativo instalado y así eliminar infecciones mientras están latentes. Un disco de rescate de arranque puede ser útil cuando, por ejemplo, el sistema operativo instalado ya no arranca o contiene malware que resiste todos los intentos de eliminación por parte del software antivirus instalado. Algunos ejemplos de software que se pueden usar en un disco de rescate de arranque son ^Kaspersky Rescue Disk , ^{[ 173 ]} Trend Micro Rescue Disk [ ^{174 ]} y Comodo Rescue Disk . ^{[ 175 ]}