Robin
Bem, infelizmente é um pouco mais complicado do que isso. Mesmo o uso exclusivo de fontes de pacotes confiáveis não significa que um vírus ainda não possa se tornar ativo em um sistema Linux. A questão aqui não é que ele já estaria presente em um pacote quando fosse instalado ou atualizado, mas que poderia entrar no sistema através de uma vulnerabilidade previamente não detectada através de dados recebidos posteriormente em operação (por exemplo, e-mail, visita a um website, visualização de um vídeo ou imagem, leitura de um texto, etc.). Essas chamadas “explorações de 0 dias” são oferecidas à venda na Darknet a preços altos pelos bandidos deste mundo. E sim, eles também estão disponíveis para Linux. Mas o Linux como sistema operacional desktop ainda não está tão difundido que valeria a pena o esforço para utilizá-lo. Esta é a única razão pela qual o Linux tem sido, até agora, amplamente poupado de tais pragas.
Os scanners de vírus de fundo em tempo real foram desenvolvidos para este cenário: eles monitoram todos os processos em execução com uma detecção heurística e param imediatamente qualquer atividade incomum, mesmo sob mera suspeita. Portanto, eles não buscam apenas assinaturas de vírus já conhecidos, que naturalmente não podem existir no caso de explorações de 0 dia. O procedimento promete proteção teórica em detrimento do desempenho do sistema. Na prática, isto cria uma superfície de ataque adicional que um atacante em potencial pode visar: O próprio programa anti-vírus, que – para poder cumprir suas tarefas – intervém profundamente no sistema e funciona com os mais altos privilégios.
A decisão sobre o que se considera ser o maior risco só pode ser tomada por si mesmo. Não há 100% de proteção, com ou sem um verificador de vírus adicional. E um verificador heurístico de vírus em tempo real, cujos avisos são constantemente colocados de lado porque são perturbadores e na maioria das vezes apenas falsos alarmes, não tem absolutamente nenhuma utilidade em uma emergência.
______________
Original text:
Nun, ein bischen komplizierter ist es leider doch. Auch das ausschließliche Verwenden vertrauenswürdiger Paketquellen bedeutet nicht, daß ein Virus nicht trotzdem auf einem Linux System aktiv werden kann. Hier geht es nicht darum, daß er schon bei Installation oder Update in einem Paket vorhanden wäre, sondern darum, daß er durch später im Betrieb empfangene Daten (z.B. Email, Besuch einer Website, Betrachten eines Videos oder Bildes, Lesen eines Textes etc.) durch eine bisher unerkannte Schwachstelle ins System eindringt. Solche sogenannten „0-Day exploits” werden von den Bösewichtern dieser Welt im Darknet zu hohen Preisen feilgeboten. Und ja, sie gibt es auch für Linux. Nur ist Linux als Desktop-Betriebssystem bisher nicht so weit verbreitet, daß ein Einsatz den Aufwand lohnen würde. Nur darum blieb Linux bisher von solchen Plagegeistern weitgehend verschont.
Die Echtzeit-Hintergrund-Virenscanner wurden für dieses Szenario entwickelt: Sie überwachen mit einer heuristischen Erkennung alle laufenden Prozesse, und stoppen sofort jede ungewöhnliche Aktivität, schon auf bloßen Verdacht hin. Sie suchen also nicht nur nach schon bekannten Virensignaturen, die es bei den 0-day-exploits naturgemäß nicht geben kann. Das Vorgehen verspricht auf Kosten der Systemleistung einen theoretischen Schutz. Praktisch entsteht damit eine zusätzliche Angriffsfläche, die ein potentieller Angreifer ins Visir nehmen kann: Das Virenschutzprogramm selbst, das – um seine Aufgaben erfüllen zu können – tief ins System eingreift und mit den höchsten Privilegien ausgestattet läuft.
Die Entscheidung, was man als das höhere Risiko bewertet, kann man nur selbst treffen. Einen 100% Schutz gibt es weder mit noch ohne zusätzlichen Virenscanner. Und ein heuristischer Echtzeit-Virenscanner, dessen Warnungen man ständig beiseite klickt, weil sie stören und meist nur Fehlalarme sind, nutzt im Ernstfall rein garnichts.
Windows is like a submarine. Open a window and serious problems will start.