McAfees „Artemis“ jagt unbekannte Malware

McAfee hat eine Sicherheitstechnologie für Windows entwickelt, die einen besseren Schutz vor noch unbekannter Malware liefern soll. „Artemis“ nutzt dazu sogenannte Fingerprints, die von verdächtigen Dateien genommen und mit Informationen in einer Online-Datenbank der McAfee Avert Labs verglichen werden.

Artemis scannt Dateien im Windows-PE-Binärformat (Portable Executable), das von ausführbaren Dateien unter Windows genutzt wird. Findet Artemis eine verdächtige PE-Datei, schickt sie einen wenige Bytes großen Fingerabdruck an den zentralen Avert-Labs-Server.

Dort sind in einer Blacklist Fingerprints von Dateien gespeichert, die als schädlich identifiziert, aber eventuell noch nicht genau analysiert wurden. Dadurch können Nutzer vor solcher Malware praktisch in Echtzeit gewarnt werden – also deutlich früher, als die Schadsoftware in Signaturfiles berücksichtigt werden kann. Das System erfordert eine aktive Internetverbindung.

Für die Antiviren-Lösungen von McAfee verspricht die Technologie eine deutliche Verbesserung. Andreas Clementi von AV-Comparatives hat für McAfee VirusScan Plus 2008 die Erkennungsraten des regulären Programms und einer Test-Version mit aktivierter Artemis-Technologie verglichen. Dabei hat er festgestellt, dass statt knapp 95 Prozent der Test-Malware mittels Artemis insgesamt 99,2 Prozent der untersuchten Malware-Samples erkannt wurden. Derzeit verursache Artemis zwar noch Fehlalarme, die sich jedoch durch Whitelists reduzieren ließen, so Clementi.

Die Erweiterung für McAfee-Produkte wird in Kürze unter beta.mcafee.com zunächst für die englischsprachige, öffentliche Beta zum Download zur Verfügung stehen. „Im Grunde kann jeder interessierte Heimanwender am Beta-Programm teilnehmen“, erklärt McAfee-Sprecherin Isabella Unseld. Die Funktion lasse sich für einen einzelnen PC relativ einfach aktivieren. Im Enterprise-Bereich werde bei der Beta mit ausgewählten Kunden zusammengearbeitet. Je nach Feedback aus der Beta-Phase soll Artemis im späteren Jahresverlauf allgemein in die Produkte des Security-Anbieters integriert werden.