Il traite tout le trafic provenant de connexions HTTP et HTTPS, en utilisant des algorithmes de détection d’URL pour empêcher les attaques de phishing et filtrer du contenu pour bloquer les logiciels malveillants.

Il analyse le code et les objets binaires avant l’exécution, à l’aide du machine learning et de diverses méthodes de détection (analyse de la structure PE et de l’éditeur de liens, décompression/dé-brouillage, algorithmes de similarité, d’approximation et de correspondance). Selon l’analyse, notre scanneur statique détermine si le fichier est bénin ou malveillant, de façon rapide et efficace.

Deux émulateurs (un pour les scripts et un pour les fichiers binaires) protègent contre les malwares et les vulnérabilités zero-day. Ils renforcent aussi la résistance aux modifications d’échantillons de malwares. Ceux-ci reproduisent complètement l’environnement informatique natif (processeur virtuel, RAM virtuelle et système d’exploitation virtuel avec des sous-systèmes). Les fonctionnalités sont collectées lors de l’émulation et les logiciels malveillants sont ensuite bloqués selon notre moteur de règles unique.

A l’aide d’une machine virtuelle – sur laquelle une version clonée du système d’exploitation de l’utilisateur teste les fichiers suspects –, DeepScreen utilise des algorithmes de machine learning pour identifier les similitudes avec les familles de malwares connues. La machine virtuelle assistée par hyperviseur se connecte au moteur cloud d’Avast pour utiliser les renseignements sur les menaces recueillis auprès de l’ensemble de notre base d’utilisateurs.

Nous combinons la virtualisation des applications suspectes et l’instrumentation profonde pour voir à haut niveau et au niveau des instructions, ce qu’un programme tente de faire. Sur la base d’un modèle de comportement observé avec des algorithmes de machine learning, nous pouvons identifier des similitudes avec des familles connues de logiciels malveillants. Avec une introspection dynamique approfondie, de couche en couche, le composant décompresseur générique peut dévoiler des échantillons de malwares connus qui pourraient être cachés dans des échantillons fortement brouillés et chiffrés. Au cours de ce processus, notre moteur cloud utilise les informations sur les menaces recueillies auprès de l’ensemble de notre base d’utilisateurs pour évaluer tous les échantillons de logiciel.

Cette fonction s’active automatiquement, si nécessaire, pour empêcher les malwares les plus rares et les plus sophistiqués d’infiltrer le système d’un utilisateur. CyberCapture verrouille et soumet les fichiers potentiellement malveillants, notamment toutes les métadonnées qui y sont associées, à la salle propre des laboratoires de menaces d’Avast, tout en informant l’utilisateur et en l’impliquant tout au long du processus. Les algorithmes avancés et les experts d’Avast inspectent les fichiers suspects dans cette couche de sécurité la plus avancée. Chaque jour, CyberCapture analyse plus de 20 000 fichiers uniques.

Il surveille le système pour détecter toute activité suspecte pendant l’exécution d’un programme. Il capture les comportements inhabituels sur les appareils (PC et smartphones Android) : tentatives de mettre fin aux services Windows Update ou au pare-feu, injection de processus au niveau du système, utilisation de la caméra sans activité initiée par l’utilisateur, etc. S’il considère un programme comme malveillant, il peut arrêter automatiquement son activité, annuler une opération et mettre en quarantaine les objets concernés.