Win Grayware Confidence 60 D — детектор вредоносного ПО¶
Win Grayware Confidence 60 D — обозначение категории угроз в системах детекции вредоносного программного обеспечения (malware detection), применяемое рядом антивирусных движков и облачных платформ анализа файлов. Термин распадается на три смысловых компонента: префикс Win указывает на платформу Windows, ключевое слово Grayware относит угрозу к классу «серого» ПО, а суффикс Confidence 60 D отражает оценку уверенности (confidence score) детектора — 60 % — с пометкой D (дистрибуция / distribution), то есть файл был обнаружен в канале распространения.
¶Классификация угроз: куда попадает Grayware
В таксономии вредоносного ПО выделяют несколько уровней «вредности»:
| Уровень | Пример обозначения | Характеристика |
|---|---|---|
| Вирусы и трояны | Trojan.Win32.Generic | Явно вредоносное поведение: кража данных, шифрование, удалённое управление |
| Потенциально нежелательное ПО (PUP/PUA) | PUP.Win32.BundleInstaller | Не наносит прямого ущерба, но устанавливается без явного согласия пользователя |
| Grayware | Win Grayware Confidence 60 D | Промежуточный класс: поведение на границе допустимого, сбор телеметрии, агрессивная реклама, изменение настроек браузера |
Термин grayware (от англ. gray — серый + software) появился в начале 2000-х годов и обозначает программы, которые формально не нарушают закон, но действуют на грани пользовательского доверия: показывают всплывающую рекламу, перенаправляют поисковые запросы, устанавливают сопутствующее ПО в комплекте с легитимным приложением, собирают обезличенную статистику.
¶Расшифровка обозначения
¶Префикс Win
Префикс Win в сигнатурах указывает на целевую платформу — Microsoft Windows. Большинство движков (DrWeb, Kaspersky, ESET-NOD32, Avast/AVG, Malwarebytes) используют сокращения Win, Win32, Win64 для обозначения исполняемых файлов PE-формата. Если бы угроза была обнаружена на Android, обозначение выглядело бы как Android.Grayware..., на macOS — Mac.Grayware....
¶Grayware
Класс grayware объединяет:
- Adware — программы, демонстрирующие рекламу вне воли пользователя;
- Riskware — легитимные утилиты, которые могут быть использованы вредоносно (remote administration tools, кейлоггеры);
- Dialers — ПО, набирающее платные номера;
- Joke programs — «шутки», имитирующие сбои системы;
- Browser hijackers — перехватчики настроек браузера, меняющие стартовую страницу и поисковик.
¶Confidence 60
Число 60 — это оценка уверенности детектора в процентном выражении. Шкала зависит от конкретного движка, но общая логика такова:
- 0–30 % — низкая уверенность, файл помечен как подозрительный, но не блокируется автоматически;
- 30–70 % — средняя уверенность, файл помещён в карантин или требует подтверждения пользователя;
- 70–100 % — высокая уверенность, файл блокируется без предупреждения.
Значение 60 % означает, что эвристика обнаружила характерные признаки grayware, но не смогла подтвердить их однозначно. Такие файлы обычно попадают в карантин и помечаются как «потенциально нежелательные» — пользователь или администратор решает, удалять их или добавлять в исключения.
¶Суффикс D
Буква D в конце обозначения часто указывает на distribution — файл был обнаружен не на конечной машине, а в канале распространения: на файлообменнике, в установщике, в рекламной сети. Некоторые вендоры используют подобные суффиксы для маркировки источника детекции.
¶Как формируется сигнатура
Современные антивирусные движки используют три механизма классификации:
- Сигнатурный анализ — сравнение хеша файла с базой известных угроз. Для grayware сигнатуры часто эвристические, поскольку поведение программ меняется от версии к версии.
- Эвристический анализ — проверка свойств файла: наличия упаковщика, подозрительных API-вызовов, попыток записи в автозагрузку, изменения реестра.
- Машинное обучение — классификатор присваивает файлу вероятностную оценку (confidence score) на основе тысяч признаков. Именно этот механизм чаще всего порождает обозначения вида
Confidence 60.
¶Что делать, если файл помечен как Win Grayware Confidence 60 D
Практические рекомендации, даваемые вендорами:
- Проверить происхождение файла — если он скачан из официального магазина приложений или с сайта разработчика, вероятность ложного срабатывания выше.
- Запустить полное сканирование — одиночная детекция может быть частью более крупной заражённой установки.
- Изучить поведение — программы, попадающие в категорию grayware, часто запускают фоновые процессы, показывают рекламу, меняют настройки браузера.
- Обратиться к вендору — большинство компаний принимают обращения о ложных срабатываниях (false positive) и пересматривают сигнатуру.
¶Отличие от ложных срабатываний
Оценка 60 % существенно ниже типичного порога автоматической блокировки, что отражает принципиальное различие между детекцией (обнаружением подозрительного объекта) и подтверждённой угрозой. В отчётах VirusTotal подобные обозначения сопровождаются пометками вроде Behavioral: suspicious или Heuristic, что указывает на вероятностный, а не абсолютный характер суждения движка.
Источники:
- DrWeb — описание классов угроз и префиксы сигнатур
- Kaspersky Virus Encyclopedia — таксономия вредоносного ПО
- ESET-NOD32 — documentation on detection categories
- Malwarebytes — определения PUP и grayware
- VirusTotal — отчёты о детекции и confidence score