VirusTotal: как работает агрегатор угроз и почему нельзя доверять цифре 0/70

Что такое VirusTotal и зачем он нужен

VirusTotal — это онлайн-агрегатор кибербезопасности, который позволяет проверить файлы, URL-адреса, домены и IP-адреса с помощью более чем 70 антивирусных движков и сервисов репутации. В отличие от классического антивируса, VirusTotal не заменяет его, а выступает в роли «второго мнения»: вы получаете вердикт сразу от десятков независимых сканеров, что помогает выявить угрозы, которые один антивирус мог пропустить.

Сервис был запущен в 2004 году испанской компанией Hispasec Sistemas, а в 2012 году его приобрела Google. Сегодня VirusTotal развивается в составе Google Cloud Security, что обеспечивает его стабильность и доступность. Платформа использует краудсорсинговый подход: пользователи со всего мира загружают подозрительные образцы, а система накапливает базу знаний, которая помогает исследователям и обычным пользователям быстрее распознавать новые угрозы.

Основная ценность VirusTotal — в независимости от конкретного вендора. Сервис не продвигает ни один антивирусный движок, поэтому расхождения в вердиктах видны честно. Это позволяет отличить ложное срабатывание одного сканера от реальной угрозы, которую заметили сразу несколько крупных вендоров.

Как проверить файл на VirusTotal: пошаговая инструкция

Проверка файла на VirusTotal занимает меньше минуты и не требует регистрации. Перейдите на главную страницу сервиса, выберите вкладку File, перетащите файл в окно браузера или нажмите Choose file. После загрузки система сначала проверит хеш файла (MD5, SHA-1, SHA-256) по своей базе: если такой файл уже анализировался, вы мгновенно получите готовый отчёт, не тратя трафик. Если хеш уникален, файл будет отправлен на проверку всем подключённым движкам.

Важно учитывать ограничение по размеру: максимальный размер загружаемого файла составляет 650 МБ. Для более крупных объектов документация рекомендует распаковывать их на части или использовать отдельный API-эндпоинт. Также VirusTotal не сможет проверить архивы с паролем — злоумышленники часто используют этот приём, отправляя вредонос в защищённом архиве, а пароль — в теле письма.

После завершения сканирования вы увидите результат в формате X/Y, где X — количество антивирусов, обнаруживших угрозу, а Y — общее число сканеров. Например, вердикт 5/70 означает, что пять движков считают файл вредоносным. Однако не стоит воспринимать эту цифру как абсолютную истину: важно анализировать, какие именно антивирусы сработали и какие имена угроз они присвоили.

Проверка URL, доменов и IP-адресов

VirusTotal позволяет проверять не только файлы, но и ссылки, домены и IP-адреса. Это особенно полезно, когда вы получили подозрительную ссылку в письме или мессенджере и не хотите переходить по ней вслепую. На вкладке URL вставьте ссылку в поле ввода и нажмите Enter — сервис прогонит её через десятки сервисов блокировки, включая Google Safe Browsing, PhishTank, Yandex Safebrowsing и другие.

Для доменов и IP-адресов доступны расширенные отчёты, которые включают:

• Passive DNS — историю резолвов домена, то есть все IP-адреса, с которыми он был связан.
• Whois-данные — информацию о владельце домена или IP-блока.
• Связанные файлы — образцы, которые скачивались с этого домена или IP.
• Коммуницирующие файлы — вредоносные программы, которые при запуске в песочнице обращались к этому адресу.

Эти данные помогают выявить инфраструктуру злоумышленников: например, если домен недавно создан и связан с подозрительными IP, это повод для беспокойства. Однако помните, что даты в отчётах отражают не момент реального обращения, а дату последнего отчёта в базе VirusTotal, поэтому информация может быть не самой свежей.

Как читать отчёт VirusTotal: вкладки Detection, Details и Behavior

Отчёт VirusTotal — это не просто цифра X/Y, а целый набор данных, разбитый по вкладкам. Главная вкладка Detection показывает список антивирусных движков и их вердикты. Здесь важно обращать внимание на имена угроз: если файл ругается Kaspersky, Bitdefender, ESET и другие крупные вендоры, присваивая вердикт вроде Trojan.Win32.Generic или Malware.Heuristic.Gen, это серьёзный красный флаг. Если же сработал только один малоизвестный сканер, вероятно, это ложное срабатывание, особенно для самописных утилит или программ, упакованных нестандартным упаковщиком.

Вкладка Details содержит техническую информацию: хеши файла во всех форматах, имена, под которыми файл встречается в сети, данные о цифровой подписи, метаданные и структуру PE-файла. Наличие валидной цифровой подписи — хороший знак, но не гарантия безопасности: злоумышленники иногда крадут сертификаты.

Самая полезная вкладка для глубокого анализа — Behavior. VirusTotal запускает исполняемые файлы в изолированной среде (песочнице) и записывает их действия: сетевые подключения, изменения в реестре, создание файлов. Даже если вердикт 0/70, но во вкладке Behavior видно, что утилита для очистки реестра пытается соединиться с неизвестным сервером, — это повод отказаться от её использования. Поведенческий анализ часто выявляет угрозы, которые сигнатурные сканеры пропускают.

Ограничения и подводные камни VirusTotal

VirusTotal — мощный инструмент, но у него есть серьёзные ограничения, о которых нужно знать. Главное из них — конфиденциальность. Всё, что вы загружаете в обычном режиме, становится публичным: отчёты публикуются в сообществе, а содержимое файлов может передаваться премиум-клиентам сервиса для исследования угроз. Поэтому никогда не загружайте на VirusTotal конфиденциальные документы — договоры, личные данные, исходный код. Для проверки приватных файлов используйте локальный антивирус или режим Private Scanning, доступный в платной версии.

Второе ограничение — невозможность удалить загруженный файл. Если вы случайно отправили на проверку чувствительный документ, самостоятельно удалить его нельзя: придётся писать в службу поддержки через форму обратной связи, и нет гарантии, что данные будут удалены быстро.

Третье — вердикт 0/70 не означает, что файл на 100% безопасен. Новые, ещё не изученные угрозы (0-day) могут не обнаруживаться ни одним сигнатурным сканером. Кроме того, злоумышленники часто модифицируют вредоносное ПО, чтобы изменить его хеш и обойти проверку. Поэтому VirusTotal стоит использовать как дополнительный инструмент, а не как единственный источник истины.

Бесплатный API: возможности и лимиты

Для автоматизации проверок VirusTotal предоставляет публичный API v3, который бесплатен для некоммерческого и академического использования. Однако у него есть существенные ограничения: всего 4 запроса в минуту, поиск только по хешу (без сложных запросов), отсутствие данных песочниц и уведомлений по YARA-правилам. Коммерческое и государственное использование требует Private API, цена которого не публикуется и рассчитывается индивидуально в зависимости от объёма.

Публичный API позволяет:

• Проверять файлы и URL-адреса.
• Искать отчёты по хешам MD5, SHA-1, SHA-256.
• Получать информацию о доменах и IP-адресах.

Важно: поисковую строку сайта VirusTotal запрещено использовать как программный интерфейс. В документации прямо сказано, что скрипты, обращающиеся к ней вместо API, будут заблокированы. Поэтому для автоматизации используйте только официальный API.

Для разработчиков доступны готовые библиотеки на Python, Go, Java, .NET, PHP и других языках, а также интеграции с SOAR/SIEM-системами, такими как Splunk, Microsoft Sentinel, IBM QRadar и CrowdStrike. Это позволяет автоматически обогащать алерты в SOC репутацией и контекстом.

Платные тарифы: Private API, Intelligence, Hunting и Private Scanning

VirusTotal предлагает несколько платных уровней для коммерческих и государственных организаций. Private API снимает ограничения бесплатного доступа: индивидуальные лимиты запросов, доступ к поведенческим данным песочниц, сложные поисковые запросы и гарантия доступности 99% по соглашению об уровне обслуживания.

VT Intelligence — это расширенный поиск по базе образцов. Вы можете искать файлы по характеристикам, содержимому и поведению, что полезно для расследования инцидентов и поиска связанных угроз. VT Hunting позволяет создавать собственные YARA-правила и проверять их на живом потоке загрузок (Livehunt) или в накопленном корпусе (Retrohunt). VT Graph визуализирует связи между файлами, доменами и IP-адресами, помогая раскручивать целые вредоносные кампании.

Отдельно стоит упомянуть Private Scanning — режим, в котором файлы не публикуются в общий корпус. Отчёты видит только ваша организация, а данные удаляются после срока хранения (по умолчанию около 24 часов). Однако в этом режиме недоступны вердикты мультиантивируса и партнёрских URL-сканеров, что ограничивает его полезность.

Стоимость всех платных услуг не публикуется на сайте — цену называют по запросу после описания задачи. Это делает VirusTotal менее прозрачным для малого бизнеса, но для крупных организаций с высокими требованиями к безопасности он остаётся одним из стандартов отрасли.

Интеграции и расширения для повседневного использования

VirusTotal предлагает несколько инструментов, которые упрощают проверку подозрительных объектов в повседневной работе. Официальное расширение для браузеров VT4Browsers добавляет пункт «Проверить в VirusTotal» в контекстное меню, позволяя быстро проверять ссылки и скачиваемые файлы прямо из Chrome, Firefox или Edge. Это удобно, когда вы сомневаетесь в безопасности ссылки, присланной в мессенджере.

Для мобильных устройств доступны приложения, которые позволяют отправлять файлы на проверку со смартфона. Десктопные загрузчики поддерживают Windows и другие платформы, упрощая отправку больших файлов.

Для корпоративных пользователей важны интеграции с SOAR, SIEM, EDR и Threat Intelligence платформами. Официальные коннекторы есть для Palo Alto Cortex XSOAR, Splunk SOAR, Microsoft Sentinel, Google SecOps (Chronicle), IBM QRadar, CrowdStrike, MISP, ServiceNow, Cloudflare One и Zscaler. Эти интеграции позволяют автоматически обогащать индикаторы компрометации репутацией и контекстом, что ускоряет разбор инцидентов и снижает количество ложных тревог.

Также стоит упомянуть VT Bot — бота для Telegram, который позволяет проверять файлы и ссылки прямо из чата. Это удобно для быстрой проверки подозрительных вложений, не покидая мессенджер.

Практические сценарии: от проверки вложений до охоты на угрозы

VirusTotal полезен не только для обычных пользователей, но и для профессионалов в области кибербезопасности. Рассмотрим несколько типичных сценариев.

1. Быстрый триаж подозрительного вложения. Вы получили письмо с архивом от «контрагента». Вместо того чтобы открывать его, загрузите файл на VirusTotal. Если несколько крупных антивирусов определяют его как троян, — это явный признак фишинга. Расхождения между вердиктами помогут отличить реальную угрозу от ложного срабатывания.

2. Проверка ссылки перед переходом. Друг прислал «уморительное видео» по короткой ссылке. Вставьте URL в VirusTotal — если сервис покажет, что домен замечен в фишинговых кампаниях, лучше не переходить.

3. Обогащение алертов в SOC. Аналитик получает алерт от SIEM о подозрительном файле. Через API VirusTotal он автоматически получает репутацию файла, список связанных доменов и поведенческий отчёт, что ускоряет принятие решения.

4. Охота на угрозы по YARA-правилам. Исследователь создаёт правило YARA для нового семейства вредоносов и запускает Retrohunt по накопленному корпусу VirusTotal, чтобы найти все образцы, соответствующие этому правилу. Это помогает выявить масштаб кампании.

5. Разбор чувствительного файла без публикации. Компания получает подозрительный документ, содержащий конфиденциальные данные. Используя Private Scanning, можно провести анализ на инфраструктуре VirusTotal, не раскрывая содержимое файла публично.

Частые ошибки при использовании VirusTotal

Даже опытные пользователи иногда допускают ошибки при работе с VirusTotal. Вот самые распространённые из них.

Ошибка 1: Доверие цифре 0/70. Как уже говорилось, нулевой вердикт не гарантирует безопасность. Всегда проверяйте вкладку Behavior и учитывайте, что новые угрозы могут быть не обнаружены.

Ошибка 2: Игнорирование имён детектов. Если файл ругается только один малоизвестный антивирус, это может быть ложным срабатыванием. Но если несколько крупных вендоров дают одинаковое имя угрозы, вероятность заражения высока.

Ошибка 3: Загрузка конфиденциальных данных. Многие пользователи по незнанию загружают на VirusTotal личные документы, которые затем становятся публичными. Это может привести к утечке данных.

Ошибка 4: Использование поисковой строки как API. Некоторые разработчики пытаются автоматизировать проверки, обращаясь к веб-интерфейсу. Это нарушает условия использования и приводит к блокировке IP.

Ошибка 5: Неучёт ограничений по размеру и архивам. Файлы больше 650 МБ и архивы с паролем не могут быть проверены. Злоумышленники часто используют эти ограничения для обхода проверки.

Чтобы избежать этих ошибок, всегда анализируйте отчёт целиком, используйте официальный API и помните о конфиденциальности.

Вопросы и ответы