Под окошками этот тупиковый путь уже давно пройден.
Антивирус, который обязательно должен знать все, что происходит в системе, чтобы...
Вам когда-нибудь помогала та проактивная защита? Мне - ни разу.
Зато антивирус так занят делом, что все ресурсы машины можно смело делить пополам.
В задницу все оптимизации - тут антивирус работает! Он же защищает... от всего... правда? А потом запускаем программку - а она начинает шифровать все файло пользователя. С правами пользователя и без всякой подозрительной активности. Никакие антивирусы иначе, как по сигнатурам, трояны-шифровальщики все равно не отличают. А если включают эвристику - начинают ругаться на каждую первую незнакомую программу. Но для такого анализа достаточно прав на чтение файлов программы, которая должна исполняться. Которые у пользователя явно есть.
Еще, как мы помним из определения вируса, он размножается. Толку от один раз пойманного и запущенного бота немного, ему надо прописаться в системе. Исполняемые файлы вирусня давно перестала модифицировать (да и недоступны они для записи в нормальных системах). Остаются каталоги, из которых производится - так или иначе - автозапуск. Внезапно, слежение за изменением каталогов в Линуксе есть из коробки, и отдельный демон для этого не нужен. И права рута, насколько я понимаю, тоже...
Ну, а если пользователь поднял себе права и выполняет какие-то действия от рута - тут я за то, чтобы, как это издавна принято в Юниксах, считать, что он знает, что делает. А не пытаться угадать, предотвратить и всячески мешать. Потому что в этом режиме пользователь сам страшнее любого вируса, а уж с "помощью" сверхпопечительного робота может наломать дров по полной программе.
