Что такое нежелательное ПО (программное обеспечение)?

1. Что такое нежелательная программа?
2. Что такое потенциально нежелательная программа?
3. False Positive/Negative или ложные срабатывания антивируса

Ранее любое программное обеспечение делилось на две большие категории — вредоносное и нет. Затем к этому списку добавили еще две категории — нежелательное и потенциально нежелательное ПО. Что это за программы, почему они так классифицируются, безопасны ли они? Ответим на этот и сопряженные вопросы.

Что такое нежелательная программа?

К "нежелательным" обычно причисляют программы, выполняющие относительно безопасные действия за компьютером, но без ведома пользователя. Каждый антивирус по-своему видит в действиях той или иной программы нежелательные моменты поведения. Одна антивирусная программа моментально заблокирует такое приложение, другая — выведет сообщение о возможной угрозе, третья не обратит на него никакого внимания.

Важно отличать вредоносное ПО от нежелательного ПО. Если первые наносят прямой ущерб компьютеру и конфиденциальным данным, то вторые обычно доставляют различные неудобства, которые нельзя причислить к критически опасным. Также следует понимать, что программа, отнесенная антивирусом к "нежелательной", для пользователя часто никакого вреда не несет.

Вот небольшой перечень типичных действий, вызывающих у антивирусов или встроенной системы безопасности Windows тревогу:

• Установка программы, несоответствующей описанию в процессе установки. К примеру, пользователь скачивает какой-нибудь бесплатный фоторедактор, устанавливает его, но в результате получает вообще другую программу.
• Скрытая установка других программ (как правило, не вредоносных и вполне полезных). Этим сегодня грешит большинство бесплатных приложений. Чтобы хоть как-то легитимировать свои действия, пользователю все же предоставляется возможность отказа от установки "левой" программы. Но чтобы отказаться от нее, иногда приходится покопаться в настройках, снять где-нибудь плохо заметную галочку и т.п. Словом, ставка делается на невнимательность пользователя.
• Изменение структуры/целостности других файлов. Если вы когда-либо устанавливали на компьютер, т.н. кряки (crack) для взлома игр или любых приложений, то, наверняка, сталкивались с сообщением антивируса об обнаружении нежелательного или даже вирусного ПО. То же самое можно сказать о нелицензионных патчах, изменяющих/дополняющих функциональность программ. Кряки и патчи вносят изменения или подменяют исполнимые EXE-файлы, DLL-библиотеки и т.д., потому вызывают у антивируса и системы такое беспокойство. Но ведь мы с вами знаем, что они не опасны (по крайней мере, те, что были получены из проверенных источников).
• Продолжение работы в фоне после закрытия основного окна. Некоторые программы без уведомления пользователя устанавливают службы, которые автоматически запускаются при загрузке и работают на компьютере после закрытия. Как правило, такие приложение затем выводят на экран всевозможные уведомления с предложением скачать другие программы.
• Изменение настроек других установленных программ без ведома пользователя. Чаще всего изменяется домашняя страница в браузере с целью продвижения сайта, рекламирования товаров и услуг.
• Вывод на экран заведомо недостоверной информации, например, о "плохом техническом состоянии системы или компьютера" с целью навести пользователя на мысль скачать (как правило, платную) программу для оптимизации ПК или приобрести более мощные компоненты к нему.
• Самопроизвольное открытие в браузере сайтов, установка плагинов и другие действия.

Как можно заметить, действия большинства нежелательных программ в основном связаны с рекламой и жестким маркетингом с целью продвижения платных приложений, увеличения трафика на сайт и т.д.

Что такое потенциально нежелательная программа?

Если некоторые "обычные" нежелательные программы можно приравнять к вирусам, то действия потенциально нежелательного ПО обычно не несут вообще никакой угрозы компьютеру, но в неумелых руках опасность все же могут представлять (потенциально).

Антивирусы обычно никак не реагируют на установку и использование подобных приложений, потому как многие из них даже имеют официальную лицензию на запуск в операционных системах Windows. Хотя от антивируса может последовать предупреждение, что скачанная/устанавливаемая/запускаемая "программа является нежелательной, ее следует использовать осторожно, а лучше и вовсе удалить".

К "потенциально нежелательному ПО" относятся, например:

• Торрент-клиенты и подобные им менеджеры загрузок, использующие для обмена данными одноранговые сети (PNP). Понятно, что посредством торрентов зачастую распространяется пиратская программная продукция или вовсе запрещенные цифровые материалы. Если торрент-файл был скачан с какого-нибудь непонятного сайта, никогда неизвестно, что может оказаться внутри.
• Установщики программ и драйверов. Опять же, менеджеры ПО/драйверов, скачанные с сомнительных сайтов, могут не только выполнять свою прямую функцию, но и скачивать и устанавливать на компьютер "левые" приложения, в т.ч. и вирусы. Речь не идет о проверенных миллионами пользователей установщиков драйверов и программ. Но и они у разработчиков антивирусов и операционной системы Windows числятся в списках потенциально нежелательного ПО.
• Майнинговые программы (майнеры) для "добычи" криптовалют. Здесь может наблюдаться такая картина. Пользователь скачал и установил майнер в надежде заработать денег. Программа буквально пожирает всю мощность компьютера, но результата при этом не дает абсолютно никакого и через длительное время "раскопок". Все просто — отысканные ею уникальные хэш-коды криптовалюты отправляются разработчику программы. Вроде бы и мошенничество, но пользователь сам установил программу, не заплатив ни копейки, а гарантий, что она что-то "откопает" никто не давал.
• Рекламные/маркетинговые программы. Тоже служат для заработка, предлагая пользователям зайти на тот или иной сайт, поставить "лайк" в соцсети, зарегестрироваться где-нибудь, оставить сообщение на форуме и т.д. А ведь никогда неизвестно, на какой сайт отправит программа. А если она "попросит" что-нибудь скачать?

Какой здесь можно сделать вывод. Потенциально нежелательные программы таковыми считаются лишь потенциально. Но использовать их все же следует с осторожностью.

False Positive/Negative или ложные срабатывания антивируса

Из медицины в информатику перетекли такие понятия, как ложноотрицательный и ложноположительный. Известно, что любые существующие медицинские тесты/анализы для выявления заболеваний или, например, наличия в крови каких-либо веществ не дают 100% верного результата. Всегда существует, пусть и мизерная, вероятность, что результат проведенного теста окажется ошибочным: ложноотрицательным (заболевание есть, но анализ показал, что его нет) или ложноположительным (а здесь все наоборот).

Антивирусные программы тоже могут ошибаться, выявляя угрозы там, где их нет (ложноположительное срабатывание или «False Positive»), либо наоборот (ложноотрицательное срабатывание или «False Negative»). Блокировка или помещение в карантин «здоровых» файлов еще можно назвать невинной ошибкой — ведь для того у антивирусов и предусмотрена функция создания списка исключений, куда пользователь может добавить файлы, чтобы они более не сканировались на наличие вирусов.

Гораздо хуже ложноотрицательные срабатывания. Или, наверное, правильнее говорить — не срабатывания, т.е. отсутствие вообще какой-либо реакции антивируса на реально существующие угрозы.

Но в обычной жизни за компьютером пользователи в основном сталкиваются с ложными «False Positive» срабатываниями. Чаще всего антивирусы ложно воспринимают как угрозу:

• Программы, активированные нелегальными путями (взломанные, нелицензионные).
• Различного рода «кряки» и активаторы — программы, служащие для взлома других программ (как правило, платных).
• Модифицированные извне программы (не обязательно платные).
• Программы, предназначенные для модификации каких-либо файлов (например, моды к компьютерным играм, изменяющие графику или добавляющие новые объекты).
• Программы, предназначенные для изменения системных настроек (т.н. твикеры).
• Неподходящие ввиду устаревания для установленной версии операционной системы или неподписанные драйверы.
• Специализированные сетевые программы, служащие, например, для анализа принимаемого/отправляемого трафика, что требует вмешательства в работу сетевого адаптера.
• Программы, предназначенные для извлечения каких-либо данных из файлов.
• Программы, способны вмешиваться в запущенные процессы или изменять данные в оперативной памяти.

Не стоит, конечно, считать, что все существующие программы, отнесенные к той или иной категории, являются безопасными. Но если это на самом деле так, то реакция антивируса на них, как на вредоносное ПО, будет являться ложноположительной. Именно поэтому разработчики таких программ делают пометку о необходимости добавления приложения в список исключений антивируса (обычно, упоминая конкретные антивирусы).