Malware, programas de proteção, phishing e pharming
Mapa do incidente
Fraqueza → entrada → exploração → execução → efeito → controle → resposta. Classifique cada etapa: vulnerabilidade é a fraqueza; vetor é o caminho; exploit a aproveita; malware é o código malicioso; payload é a ação que ele executa. Um ataque zero-day explora fraqueza até então desconhecida ou sem correção disponível naquele contexto; não é família de malware. Uma mensagem falsa pode induzir a instalar programa disfarçado que registra teclas: phishing descreve a indução, trojan o disfarce e keylogger a função. São classificações compatíveis.
Família pelo comportamento predominante
| Mecanismo | Reconheça | Não infira |
|---|---|---|
| vírus | infecta hospedeiro (arquivo, documento ou inicialização) e depende de sua ativação para disseminar | que todo código malicioso é vírus |
| worm | código autônomo que propaga cópias, com frequência por rede | que precise anexar-se a arquivo |
| trojan (cavalo de Troia) | disfarça-se de programa legítimo/desejado para ser executado | que se autorreplica |
| spyware | monitora e coleta informações; keylogger capta teclas, screenlogger telas/cliques, infostealer credenciais e outros dados | que espionar exige apenas registro de teclas |
| ransomware | bloqueia acesso (locker) ou cifra dados (crypto) para extorquir; pode somar ameaça de divulgação | que pagamento garanta recuperação |
| backdoor / rootkit | acesso oculto de retorno / técnicas para ocultar presença e alterações | que sejam sinônimos de worm ou trojan |
| bot / botnet | dispositivo controlado / conjunto de dispositivos coordenados | que botnet descreve método de infecção |
| wiper / scareware / hoax | destruição / falso alerta que induz ação / boato sem código obrigatório | que toda indisponibilidade envolve extorsão |
Vírus clássicos: arquivo infecta programa; boot afeta inicialização; macro explora automação do documento; multipartite atinge alvos diferentes. Polimórfico muda representação, metamórfico reescreve código e stealth oculta sinais; nenhum torna o vírus indetectável. Documento com macro pode ser vetor de outro malware. Dropper libera/instala carga e downloader busca componentes; suas funções não determinam o efeito final. Adware exibe anúncios e pode rastrear; stalkerware vigia invasivamente; RAT oferece controle remoto malicioso; fileless pode abusar de memória, scripts e ferramentas legítimas, sem significar ausência literal de rastros.
Controle conforme o risco
| Controle | Ajuda a | Limite |
|---|---|---|
| antimalware (antivírus moderno) | detectar códigos por assinaturas, heurística (indícios), comportamento ou reputação; anti-spyware foca programas espiões | assinatura precisa de atualização; falso positivo marca item legítimo, falso negativo deixa ameaça passar |
| quarentena | isolar objeto para impedir uso normal e avaliar | não é exclusão nem prova absoluta de infecção |
| firewall de host / de rede | filtrar tráfego do equipamento / entre segmentos | não remove malware instalado nem garante que tráfego permitido é benigno |
| filtro sem estado / com estado | decide pelo pacote isolado / acompanha conexão e reconhece retorno | retorno permitido não libera qualquer conexão nova |
| correção de programas / backup | reduzir exposição a falhas conhecidas / restaurar dados | backup não impede infecção e precisa de ponto confiável |
Sandbox é ambiente restrito para observar execução; quarentena apenas isola o objeto detectado. Análise estática examina sem executar, dinâmica observa durante execução. Nenhum mecanismo único garante proteção perfeita.
Fraude e desvio de destino
Phishing usa comunicação enganosa para obter senha, ação, pagamento ou instalação; pode ocorrer sem malware. Spear phishing é direcionado a alvo pesquisado; whaling mira dirigente; smishing usa SMS/mensageria; vishing, voz; quishing, QR falso. Mensagem bem escrita ou conta real comprometida também pode fraudar; confirme pedidos sensíveis por canal independente.
Pharming é uma modalidade de phishing pelo mecanismo de redirecionamento: alteração de DNS (resolução de nomes), arquivo hosts, roteador ou equipamento pode levar a página falsa mesmo após digitar o endereço esperado. Portanto, a distinção útil é indução por mensagem ou link versus desvio técnico da navegação; as categorias não são excludentes.
Em endereço web, leia o host inteiro e identifique quem controla o domínio, não apenas palavras familiares à esquerda nem o texto aparente do link. HTTPS protege o canal até o destino acessado; site fraudulento também pode ter cadeado. Prefira endereço conhecido e confira pagamentos ou credenciais por outro canal.
SPF verifica autorização do remetente no envelope; DKIM assina partes da mensagem com domínio; DMARC exige alinhamento com o domínio visível, política (none, quarantine, reject) e relatórios. Passar nos três não prova que um pedido de pagamento seja legítimo: conta real comprometida pode enviar BEC. Confirme por canal independente. MFA inesperado pode ser fadiga de aprovações; consent phishing explora permissões concedidas a aplicativo malicioso, mesmo com login autêntico.
Primeira resposta e recuperação
Registrar → comunicar pelo canal institucional → conter → preservar evidências → analisar → erradicar → recuperar de fonte confiável → monitorar. Isolar equipamento da rede reduz contato e propagação, mas não remove o código nem repara alterações. Não execute amostra suspeita para “testar” nem apague registros por conta própria. Recupere um ponto anterior ao comprometimento e confira o funcionamento em ambiente validado.