Malware, programas de proteção, phishing e pharming

1. Primeiro, enxergue a cadeia do ataque

Quando uma questão descreve um incidente, ela pode misturar como o ataque entrou, que código foi executado, o que esse código fez e qual defesa poderia reduzir o risco. Se você der o mesmo nome a todas essas etapas, começará a confundir vírus, worm, trojan, phishing e até firewall.

Use este modelo mental:

fraqueza → caminho de entrada → exploração → execução → efeito → defesa/resposta

Agora associe os termos técnicos às etapas:

Exemplo hipotético: uma mensagem falsa leva a vítima a instalar um programa disfarçado que rouba senhas. A mensagem é o vetor de engenharia social; o programa disfarçado pode ser um trojan; o furto de credenciais é o efeito malicioso.

A mesma ocorrência, portanto, pode receber mais de uma classificação, porque cada termo descreve um aspecto diferente.

1.1 Vulnerabilidade, exploit e zero-day não são malware por definição

Uma vulnerabilidade é a fraqueza. O exploit é o meio de aproveitar essa fraqueza. Um ataque zero-day explora uma vulnerabilidade ainda desconhecida ou sem correção disponível no contexto considerado.

Isso não cria uma nova família de malware. Um worm ou outro código malicioso pode explorar uma vulnerabilidade zero-day.

2. O que distingue os principais tipos de malware

Em prova, procure o comportamento predominante. Os nomes abaixo não competem necessariamente entre si: um mesmo código pode, por exemplo, ser um worm na propagação e instalar um backdoor para manter o acesso.

2.1 Vírus: precisa de hospedeiro

Vírus associa-se a um hospedeiro, como arquivo, documento ou estrutura de inicialização. Em regra, a infecção de outros objetos depende da execução ou ativação desse hospedeiro.

Algumas classificações clássicas:

Polimorfismo e metamorfismo podem dificultar a detecção por padrões estáticos, mas não tornam o código automaticamente indetectável.

2.2 Worm: propaga-se de forma autônoma

Worm é código autônomo que procura espalhar cópias de si, frequentemente por rede, sem precisar anexar-se a outro arquivo para existir.

A frase de prova “propaga-se sozinho pela rede” aponta fortemente para worm, não para vírus.

2.3 Trojan: o ponto é o disfarce

Trojan, ou cavalo de Troia, apresenta-se como legítimo ou desejável para induzir instalação ou execução. Seu traço central é o disfarce, e não a autorreplicação.

Um aplicativo falso pode, depois de instalado, baixar outros componentes, espionar o usuário ou abrir acesso remoto.

2.4 Spyware e captura de informações

Spyware monitora atividades e coleta informações. Dentro dessa ideia aparecem funções mais específicas:

• keylogger: registra teclas;
• screenlogger: registra tela, regiões ou cliques;
• infostealer: coleta credenciais, cookies, tokens e outros dados úteis ao atacante.

Nem todo spyware precisa registrar teclas. Um infostealer, por exemplo, pode obter um token de sessão e permitir acesso sem conhecer a senha digitada.

2.5 Ransomware: indisponibilidade e extorsão

Ransomware busca tornar dados ou sistemas indisponíveis e exigir pagamento.

Pagamento não garante recuperação integral nem impede nova extorsão.

2.6 Backdoor, rootkit, bot e botnet

• backdoor: meio oculto de contornar o acesso normal e retornar ao sistema;
• rootkit: conjunto de técnicas ou componentes voltados a ocultar presença, alterações ou acesso privilegiado;
• bot ou zumbi: dispositivo controlado remotamente pelo atacante;
• botnet: conjunto de dispositivos comprometidos sob controle coordenado.

Um worm pode instalar um backdoor; um trojan pode transformar o equipamento em bot. O primeiro nome descreve a propagação ou o disfarce; o segundo descreve o efeito posterior.

2.7 Outros termos frequentes

Não confunda wiper com ransomware: ambos podem causar indisponibilidade, mas o ransomware tem a extorsão como elemento característico.

3. Como o malware chega ao equipamento

Os vetores mudam, mas alguns padrões se repetem:

• anexo ou link em mensagem;
• download disfarçado;
• programa adulterado;
• documento com macro ou conteúdo ativo;
• serviço exposto e vulnerável;
• mídia removível;
• credencial comprometida;
• atualização ou cadeia de suprimentos comprometida.

Dois componentes ajudam a entender cadeias de instalação:

Eles não precisam ser a carga final. Um downloader pode obter ransomware; um dropper pode instalar spyware.

3.1 Macro: recurso legítimo que pode ser abusado

Uma macro de documento é um recurso de automação. Quando maliciosa, pode executar comandos, baixar componentes ou alterar configurações.

Assim, o documento pode ser o vetor, enquanto o componente instalado recebe outra classificação de malware.

4. Programas de proteção: não trate tudo como “antivírus”

O edital separa antivírus, firewall e anti-spyware porque eles atuam em problemas diferentes.

4.1 Antivírus e antimalware

Antivírus moderno costuma funcionar como solução antimalware, isto é, busca detectar várias famílias de código malicioso, não apenas vírus clássicos.

Métodos comuns de detecção:

Falso positivo é o item legítimo classificado como ameaça. Falso negativo é a ameaça que não foi detectada.

4.2 Anti-spyware

Anti-spyware é software voltado à detecção e remoção de spyware e comportamentos relacionados a monitoramento indevido. Em produtos atuais, essa função pode aparecer integrada à suíte antimalware.

A prova pode usar o nome específico “anti-spyware” para destacar o foco em programas espiões; isso não significa que toda solução moderna precise ser um aplicativo separado.

4.3 Quarentena não é exclusão

Quando o antimalware coloca um objeto em quarentena, ele o isola para impedir uso normal. Isso não equivale, por si só, a:

• excluir definitivamente o arquivo;
• provar sem dúvida que o item era malicioso;
• corrigir outras alterações que já tenham ocorrido no sistema.

4.4 Firewall controla tráfego

Firewall aplica regras ao tráfego de rede. Pode proteger um equipamento individual ou atuar na fronteira entre redes.

Uma distinção útil é:

• filtro sem estado: avalia cada pacote com base em campos e regras;
• firewall com estado: acompanha o estado das conexões e consegue distinguir, por exemplo, tráfego de retorno de uma nova conexão iniciada do exterior.

Firewall não remove malware do disco, não corrige vulnerabilidades e não transforma tráfego permitido em tráfego benigno. Ele é uma camada de defesa, não substituto de antimalware, atualização e backup.

5. Phishing: o atacante induz a vítima

Phishing usa comunicação enganosa para induzir uma ação. O atacante pode tentar fazer a vítima:

• informar credenciais;
• clicar em link;
• abrir anexo;
• instalar programa;
• realizar pagamento;
• revelar informação sensível.

O phishing pode existir sem malware. Se a vítima apenas entrega a senha em uma página falsa, já houve phishing mesmo que nenhum programa tenha sido instalado.

5.1 Variantes por alvo ou canal

Os nomes ajudam, mas a lógica é a mesma: existe indução por comunicação.

5.2 Sinais de alerta não são provas isoladas

Desconfie de:

• urgência ou ameaça;
• pedido inesperado de senha ou código;
• anexo fora de contexto;
• domínio parecido com o legítimo;
• pedido para mudar dados de pagamento;
• mensagem que exige segredo ou quebra do procedimento habitual.

Porém, mensagem bem escrita não é sinônimo de legitimidade. Uma conta real também pode ser comprometida.

6. Ler o endereço web evita uma pegadinha clássica

Considere o exemplo hipotético:

https://login.gov.br.exemplo.com/validar

O host é login.gov.br.exemplo.com, mas o domínio relevante pertence a exemplo.com. As palavras login e gov.br aparecem como subdomínios e não mudam quem controla o domínio principal desse exemplo.

Ao verificar um link:

1. leia o host completo;
2. procure letras trocadas, caracteres parecidos e hífens suspeitos;
3. não confie apenas no texto visível do link;
4. prefira abrir o serviço por endereço conhecido ou favorito confiável;
5. confirme pedidos sensíveis por canal independente.

HTTPS protege a comunicação com o domínio acessado, mas não demonstra que esse domínio pertence à organização que você esperava visitar. Um site fraudulento também pode usar HTTPS.

7. Pharming: o destino é desviado tecnicamente

Pharming envolve o redirecionamento da navegação para um site fraudulento. A vítima pode digitar o endereço esperado e, mesmo assim, ser levada a outro destino.

Isso pode ocorrer, por exemplo, por manipulação do DNS, alteração do arquivo hosts, comprometimento de roteador ou código malicioso no equipamento.

A distinção central é:

A Cartilha do CERT.br trata pharming como um tipo específico de phishing baseado em redirecionamento por alterações ligadas ao DNS. Em prova, o melhor critério é reconhecer o mecanismo descrito.

8. Defesa em camadas: cada controle resolve uma parte

Nenhum mecanismo isolado encerra o problema.

Pense sempre em camadas complementares: atualização, antimalware, firewall, backup, controle de acesso e comportamento cuidadoso do usuário.

9. O que fazer diante de um incidente

Em ambiente institucional, a resposta deve seguir o procedimento da organização. Como regra de raciocínio:

registrar → comunicar → conter → preservar → analisar → recuperar

Alguns cuidados gerais:

• comunique o incidente pelo canal previsto;
• preserve mensagens, horários e outros registros relevantes;
• não execute novamente arquivo suspeito para “testar”;
• não apague evidências por conta própria;
• isole o equipamento quando isso fizer parte da orientação de resposta;
• restaure dados somente a partir de fonte confiável e em ambiente validado.

Isolar não é remover. Retirar um equipamento da rede pode reduzir comunicação e propagação, mas não apaga o malware nem restaura automaticamente a confiança no sistema.

10. Casos para integrar os conceitos

Caso 1 — mensagem falsa e programa disfarçado

Uma mensagem falsa induz o usuário a instalar um suposto visualizador de documentos. O programa registra teclas.

• phishing: técnica de indução;
• trojan: disfarce do programa;
• keylogger: função de captura.

Não há conflito: cada nome descreve uma etapa diferente.

Caso 2 — propagação automática

Um código explora computadores vulneráveis na rede e envia cópias de si para novos alvos.

O traço predominante é de worm, porque há autonomia e propagação.

Caso 3 — endereço correto, destino falso

Vários usuários digitam o endereço legítimo, mas chegam a página fraudulenta após alteração indevida do DNS.

O mecanismo predominante é pharming.

Caso 4 — arquivo isolado

O antimalware detecta um arquivo e impede seu uso normal, mantendo-o separado para análise posterior.

Isso é quarentena, não exclusão definitiva.

Caso 5 — firewall ativo, infecção presente

Um computador já comprometido contém spyware, embora tenha firewall ativo.

Não há contradição: firewall controla tráfego conforme regras; ele não substitui a detecção e remoção de malware.

11. Pegadinhas que valem memorização

• ameaça ≠ vulnerabilidade;
• vulnerabilidade ≠ exploit;
• exploit ≠ malware necessariamente;
• zero-day ≠ família de malware;
• vírus depende de hospedeiro; worm é autônomo;
• trojan = disfarce; worm = propagação;
• spyware ≠ apenas keylogger;
• ransomware ≠ qualquer destruição de dados;
• backdoor ≠ vírus obrigatoriamente;
• hoax pode existir sem código malicioso;
• quarentena ≠ exclusão;
• falso positivo ≠ falso negativo;
• firewall ≠ antimalware;
• HTTPS ≠ site legítimo;
• phishing pode ocorrer sem malware;
• phishing induz; pharming redireciona;
• backup ajuda a recuperar; não impede infecção;
• isolamento ≠ erradicação.

12. Método rápido para resolver questões

1. Separe as etapas. Há fraqueza, caminho de entrada, exploração, execução e efeito?
2. Procure o comportamento distintivo. Hospedeiro sugere vírus; propagação autônoma, worm; disfarce, trojan; espionagem, spyware; extorsão, ransomware.
3. Identifique o controle. Antimalware examina código e comportamento; anti-spyware foca espionagem; firewall controla tráfego.
4. Na engenharia social, pergunte se houve indução. Se sim, pense em phishing e suas variantes.
5. No pharming, procure desvio técnico do destino, especialmente por alteração ligada ao DNS.
6. Desconfie de absolutos. Palavras como “garante”, “sempre”, “impossível” e “remove automaticamente” costumam transformar uma proteção parcial em promessa falsa.