8. Malware, programas de proteção, phishing e pharming

1. Primeiro, enxergue a cadeia do ataque

Quando uma questão descreve um incidente, ela pode misturar como o ataque entrou, que código foi executado, o que esse código fez e qual defesa poderia reduzir o risco. Se você der o mesmo nome a todas essas etapas, começará a confundir vírus, worm, trojan, phishing e até firewall.

Use este modelo mental:

fraqueza → caminho de entrada → exploração → execução → efeito → defesa/resposta

Agora associe os termos técnicos às etapas:

Exemplo hipotético: uma mensagem falsa leva a vítima a instalar um programa disfarçado que rouba senhas. A mensagem é o vetor de engenharia social; o programa disfarçado pode ser um trojan; o furto de credenciais é o efeito malicioso.

A mesma ocorrência, portanto, pode receber mais de uma classificação, porque cada termo descreve um aspecto diferente.

1.1 Vulnerabilidade, exploit e zero-day não são malware por definição

Uma vulnerabilidade é a fraqueza. O exploit é o meio de aproveitar essa fraqueza. Um ataque zero-day explora uma vulnerabilidade ainda desconhecida ou sem correção disponível no contexto considerado.

Isso não cria uma nova família de malware. Um worm ou outro código malicioso pode explorar uma vulnerabilidade zero-day.

2. O que distingue os principais tipos de malware

Em prova, procure o comportamento predominante. Os nomes abaixo não competem necessariamente entre si: um mesmo código pode, por exemplo, ser um worm na propagação e instalar um backdoor para manter o acesso.

2.1 Vírus: precisa de hospedeiro

Vírus associa-se a um hospedeiro, como arquivo, documento ou estrutura de inicialização. Em regra, a infecção de outros objetos depende da execução ou ativação desse hospedeiro.

Algumas classificações clássicas:

Polimorfismo e metamorfismo podem dificultar a detecção por padrões estáticos, mas não tornam o código automaticamente indetectável.

2.2 Worm: propaga-se de forma autônoma

Worm é código autônomo que procura espalhar cópias de si, frequentemente por rede, sem precisar anexar-se a outro arquivo para existir.

A frase de prova “propaga-se sozinho pela rede” aponta fortemente para worm, não para vírus.

2.3 Trojan: o ponto é o disfarce

Trojan, ou cavalo de Troia, apresenta-se como legítimo ou desejável para induzir instalação ou execução. Seu traço central é o disfarce, e não a autorreplicação.

Um aplicativo falso pode, depois de instalado, baixar outros componentes, espionar o usuário ou abrir acesso remoto.

2.4 Spyware e captura de informações

Spyware monitora atividades e coleta informações. Dentro dessa ideia aparecem funções mais específicas:

• keylogger: registra teclas;
• screenlogger: registra tela, regiões ou cliques;
• infostealer: coleta credenciais, cookies, tokens e outros dados úteis ao atacante.

Nem todo spyware precisa registrar teclas. Um infostealer, por exemplo, pode obter um token de sessão e permitir acesso sem conhecer a senha digitada.

2.5 Ransomware: indisponibilidade e extorsão

Ransomware busca tornar dados ou sistemas indisponíveis e exigir pagamento.

Pagamento não garante recuperação integral nem impede nova extorsão.

2.6 Backdoor, rootkit, bot e botnet

• backdoor: meio oculto de contornar o acesso normal e retornar ao sistema;
• rootkit: conjunto de técnicas ou componentes voltados a ocultar presença, alterações ou acesso privilegiado;
• bot ou zumbi: dispositivo controlado remotamente pelo atacante;
• botnet: conjunto de dispositivos comprometidos sob controle coordenado.

Um worm pode instalar um backdoor; um trojan pode transformar o equipamento em bot. O primeiro nome descreve a propagação ou o disfarce; o segundo descreve o efeito posterior.

2.7 Outros termos frequentes

Não confunda wiper com ransomware: ambos podem causar indisponibilidade, mas o ransomware tem a extorsão como elemento característico.

2.8 Outros nomes que aparecem em questões

Adware exibe anúncios e pode coletar dados sobre navegação; sua classificação depende do comportamento e da autorização. Stalkerware é usado para vigiar uma pessoa ou dispositivo de modo invasivo. RAT (remote access trojan) é programa disfarçado que permite controle remoto malicioso; suporte remoto legítimo, usado com autorização, não vira RAT por definição. Um ataque chamado fileless ou living off the land pode abusar de scripts, memória e ferramentas já instaladas para executar ações maliciosas. Não significa ausência absoluta de arquivos ou rastros.

Esses nomes respondem a perguntas diferentes: adware e stalkerware sugerem finalidade, RAT combina disfarce e controle, e fileless descreve uma forma de execução. Na análise do cenário, pergunte sempre o que ocorreu e em qual etapa.

3. Como o malware chega ao equipamento

Os vetores mudam, mas alguns padrões se repetem:

• anexo ou link em mensagem;
• download disfarçado;
• programa adulterado;
• documento com macro ou conteúdo ativo;
• serviço exposto e vulnerável;
• mídia removível;
• credencial comprometida;
• atualização ou cadeia de suprimentos comprometida.

Dois componentes ajudam a entender cadeias de instalação:

Eles não precisam ser a carga final. Um downloader pode obter ransomware; um dropper pode instalar spyware.

3.1 Macro: recurso legítimo que pode ser abusado

Uma macro de documento é um recurso de automação. Quando maliciosa, pode executar comandos, baixar componentes ou alterar configurações.

Assim, o documento pode ser o vetor, enquanto o componente instalado recebe outra classificação de malware.

4. Programas de proteção: não trate tudo como “antivírus”

O edital separa antivírus, firewall e anti-spyware porque eles atuam em problemas diferentes.

4.1 Antivírus e antimalware

Antivírus moderno costuma funcionar como solução antimalware, isto é, busca detectar várias famílias de código malicioso, não apenas vírus clássicos.

Métodos comuns de detecção:

Falso positivo é o item legítimo classificado como ameaça. Falso negativo é a ameaça que não foi detectada.

4.2 Anti-spyware

Anti-spyware é software voltado à detecção e remoção de spyware e comportamentos relacionados a monitoramento indevido. Em produtos atuais, essa função pode aparecer integrada à suíte antimalware.

A prova pode usar o nome específico “anti-spyware” para destacar o foco em programas espiões; isso não significa que toda solução moderna precise ser um aplicativo separado.

4.3 Quarentena não é exclusão

Quando o antimalware coloca um objeto em quarentena, ele o isola para impedir uso normal. Isso não equivale, por si só, a:

• excluir definitivamente o arquivo;
• provar sem dúvida que o item era malicioso;
• corrigir outras alterações que já tenham ocorrido no sistema.

4.4 Ambiente de análise não é quarentena

Uma sandbox é ambiente restrito no qual se pode observar a execução de uma amostra suspeita. Análise estática examina sem executá-la; análise dinâmica observa ações durante a execução controlada. Um código pode atrasar seu comportamento, exigir interação ou detectar o ambiente de análise. Por isso, quarentena (isolamento do objeto) e sandbox (observação sob restrições) têm finalidades diferentes; nenhum resultado único prova ausência de ameaça. Não execute uma amostra suspeita no computador de trabalho para “ver o que acontece”.

4.5 Firewall controla tráfego

Firewall aplica regras ao tráfego de rede. Pode proteger um equipamento individual ou atuar na fronteira entre redes.

Uma distinção útil é:

• filtro sem estado: avalia cada pacote com base em campos e regras;
• firewall com estado: acompanha o estado das conexões e consegue distinguir, por exemplo, tráfego de retorno de uma nova conexão iniciada do exterior.

Firewall não remove malware do disco, não corrige vulnerabilidades e não transforma tráfego permitido em tráfego benigno. Ele é uma camada de defesa, não substituto de antimalware, atualização e backup. Um proxy ou firewall de aplicação pode examinar elementos da aplicação conforme seu desenho e configuração; isso acrescenta contexto, mas não significa inspeção completa de conteúdo cifrado nem proteção perfeita.

5. Phishing: o atacante induz a vítima

Phishing usa comunicação enganosa para induzir uma ação. O atacante pode tentar fazer a vítima:

• informar credenciais;
• clicar em link;
• abrir anexo;
• instalar programa;
• realizar pagamento;
• revelar informação sensível.

O phishing pode existir sem malware. Se a vítima apenas entrega a senha em uma página falsa, já houve phishing mesmo que nenhum programa tenha sido instalado.

5.1 Variantes por alvo ou canal

Os nomes ajudam, mas a lógica é a mesma: existe indução por comunicação.

5.2 Sinais de alerta não são provas isoladas

Desconfie de:

• urgência ou ameaça;
• pedido inesperado de senha ou código;
• anexo fora de contexto;
• domínio parecido com o legítimo;
• pedido para mudar dados de pagamento;
• mensagem que exige segredo ou quebra do procedimento habitual.

Porém, mensagem bem escrita não é sinônimo de legitimidade. Uma conta real também pode ser comprometida.

6. Ler o endereço web evita uma pegadinha clássica

Considere o exemplo hipotético:

https://login.gov.br.exemplo.com/validar

O host é login.gov.br.exemplo.com, mas o domínio relevante pertence a exemplo.com. As palavras login e gov.br aparecem como subdomínios e não mudam quem controla o domínio principal desse exemplo.

Ao verificar um link:

1. leia o host completo;
2. procure letras trocadas, caracteres parecidos e hífens suspeitos;
3. não confie apenas no texto visível do link;
4. prefira abrir o serviço por endereço conhecido ou favorito confiável;
5. confirme pedidos sensíveis por canal independente.

HTTPS protege a comunicação com o domínio acessado, mas não demonstra que esse domínio pertence à organização que você esperava visitar. Um site fraudulento também pode usar HTTPS.

6.1 Fraude em e-mail pode usar uma conta verdadeira

No comprometimento de e-mail empresarial (BEC), o atacante pode usar uma conversa ou conta real para pedir mudança de conta bancária. Não é necessário haver anexo, link ou malware; confirme pedidos sensíveis por outro canal institucional, obtido independentemente da mensagem suspeita.

Autenticação multifator (MFA) acrescenta uma prova de identidade, mas aprovações repetidas inesperadas podem tentar produzir fadiga de MFA. Negue e comunique solicitações que você não iniciou. No consent phishing, o usuário entra por página de login verdadeira, mas concede a um aplicativo malicioso permissões de acesso aos dados. Examine aplicativo, editor e permissões solicitadas; trocar apenas a senha pode não revogar sessões, tokens ou consentimentos já concedidos.

6.2 SPF, DKIM e DMARC: autenticar domínio não valida a intenção

Três mecanismos ajudam a reduzir falsificação de e-mail:

No DMARC, p=none monitora sem pedir rejeição ou quarentena por essa política; p=quarantine pede tratamento como suspeita; p=reject pede rejeição. A implementação depende do destinatário e do contexto, portanto quarentena não garante uma pasta específica. A FGV já cobrou essa distinção. Se o e-mail pede mudança de pagamento, passar nesses mecanismos ainda não dispensa confirmação independente: eles dizem respeito à autenticação de domínio, não à legitimidade do pedido.

7. Pharming: o destino é desviado tecnicamente

Pharming envolve o redirecionamento da navegação para um site fraudulento. A vítima pode digitar o endereço esperado e, mesmo assim, ser levada a outro destino.

Isso pode ocorrer, por exemplo, por manipulação do DNS, alteração do arquivo hosts, comprometimento de roteador ou código malicioso no equipamento.

A distinção central é:

A Cartilha do CERT.br trata pharming como um tipo específico de phishing baseado em redirecionamento por alterações ligadas ao DNS. Em prova, o melhor critério é reconhecer o mecanismo descrito.

8. Defesa em camadas: cada controle resolve uma parte

Nenhum mecanismo isolado encerra o problema.

Pense sempre em camadas complementares: atualização, antimalware, firewall, backup, controle de acesso e comportamento cuidadoso do usuário.

9. O que fazer diante de um incidente

Em ambiente institucional, a resposta deve seguir o procedimento da organização. Como regra de raciocínio:

registrar → comunicar → conter → preservar → analisar → recuperar

Alguns cuidados gerais:

• comunique o incidente pelo canal previsto;
• preserve mensagens, horários e outros registros relevantes;
• não execute novamente arquivo suspeito para “testar”;
• não apague evidências por conta própria;
• isole o equipamento quando isso fizer parte da orientação de resposta;
• restaure dados somente a partir de fonte confiável e em ambiente validado.

Isolar não é remover. Retirar um equipamento da rede pode reduzir comunicação e propagação, mas não apaga o malware nem restaura automaticamente a confiança no sistema.

10. Casos para integrar os conceitos

Caso 1 — mensagem falsa e programa disfarçado

Uma mensagem falsa induz o usuário a instalar um suposto visualizador de documentos. O programa registra teclas.

• phishing: técnica de indução;
• trojan: disfarce do programa;
• keylogger: função de captura.

Não há conflito: cada nome descreve uma etapa diferente.

Caso 2 — propagação automática

Um código explora computadores vulneráveis na rede e envia cópias de si para novos alvos.

O traço predominante é de worm, porque há autonomia e propagação.

Caso 3 — endereço correto, destino falso

Vários usuários digitam o endereço legítimo, mas chegam a página fraudulenta após alteração indevida do DNS.

O mecanismo predominante é pharming.

Caso 4 — arquivo isolado

O antimalware detecta um arquivo e impede seu uso normal, mantendo-o separado para análise posterior.

Isso é quarentena, não exclusão definitiva.

Caso 5 — firewall ativo, infecção presente

Um computador já comprometido contém spyware, embora tenha firewall ativo.

Não há contradição: firewall controla tráfego conforme regras; ele não substitui a detecção e remoção de malware.

11. Pegadinhas que valem memorização

• ameaça ≠ vulnerabilidade;
• vulnerabilidade ≠ exploit;
• exploit ≠ malware necessariamente;
• zero-day ≠ família de malware;
• vírus depende de hospedeiro; worm é autônomo;
• trojan = disfarce; worm = propagação;
• spyware ≠ apenas keylogger;
• ransomware ≠ qualquer destruição de dados;
• backdoor ≠ vírus obrigatoriamente;
• hoax pode existir sem código malicioso;
• quarentena ≠ exclusão;
• falso positivo ≠ falso negativo;
• firewall ≠ antimalware;
• HTTPS ≠ site legítimo;
• phishing pode ocorrer sem malware;
• phishing induz; pharming redireciona;
• backup ajuda a recuperar; não impede infecção;
• isolamento ≠ erradicação.

12. Método rápido para resolver questões

1. Separe as etapas. Há fraqueza, caminho de entrada, exploração, execução e efeito?
2. Procure o comportamento distintivo. Hospedeiro sugere vírus; propagação autônoma, worm; disfarce, trojan; espionagem, spyware; extorsão, ransomware.
3. Identifique o controle. Antimalware examina código e comportamento; anti-spyware foca espionagem; firewall controla tráfego.
4. Na engenharia social, pergunte se houve indução. Se sim, pense em phishing e suas variantes.
5. No pharming, procure desvio técnico do destino, especialmente por alteração ligada ao DNS.
6. Desconfie de absolutos. Palavras como “garante”, “sempre”, “impossível” e “remove automaticamente” costumam transformar uma proteção parcial em promessa falsa.