Malware é o termo geral para software malicioso que causa dano aos seus dispositivos ou dados. Veja aqui os principais tipos e a defesa que permanece a mesma não importa qual seja o tipo (sem passos de ataque).
Os tipos de malware
Há muitos nomes, mas tudo de que você realmente precisa é de uma ideia aproximada de quais tipos existem — porque, como se vê abaixo, a defesa é compartilhada.
Vírus
Anexa-se a um arquivo legítimo e, quando executado, se replica e se espalha. Não consegue agir sozinho.
Worm
Autorreplica-se sozinho e se espalha automaticamente pela rede. Explode em redes desprotegidas.
Cavalo de Troia (trojan)
Passa-se por software útil e legítimo para entrar e depois age de forma maliciosa em segundo plano. Você mesmo o instala.
Ransomware
Criptografa arquivos e exige um resgate. Hoje costuma vir combinado com roubo de dados — dupla extorsão (→ artigo dedicado).
Spyware
Esconde-se sem ser notado e rouba digitações, credenciais e histórico de navegação.
Bot / botnet
Controla remotamente máquinas infectadas e reúne muitas delas para ataques. As ordens chegam de um C2 (→C2).
Na prática, um único malware muitas vezes tem várias dessas características ao mesmo tempo (por exemplo, entra como trojan, age como spyware para roubar dados e, por fim, solta ransomware). É exatamente por isso que é mais útil reforçar suas defesas de prevenção / detecção / recuperação do que gastar tempo com "qual tipo é este?".
Como malware, vírus, ransomware e backdoor se relacionam
Essas palavras são usadas lado a lado, mas não estão no mesmo nível. Malware é o termo guarda-chuva; as outras três são tipos ou funções dentro dele.
| Termo | O que significa | Como distinguir |
|---|---|---|
| Malware | Termo guarda-chuva para software malicioso | Inclui os três abaixo |
| Vírus | Malware que se espalha anexando-se a outros arquivos | Não roda sozinho; espalha-se quando o arquivo hospedeiro é executado |
| Ransomware | Malware que criptografa arquivos e exige um resgate | Anuncia-se com um bilhete de resgate |
| Backdoor (em inglês) | Um caminho oculto de volta que contorna a autenticação | Pode ser instalado como malware, ou criado como uma configuração ou conta |
O nome "antivírus" sobrevive por razões históricas; os produtos reais detectam muito mais do que vírus.
Principais rotas de infecção
O malware não aparece do nada; ele entra por um conjunto previsível de rotas. Aqui estão apenas as rotas em alto nível (sem técnicas específicas).
Em todos os casos, a rota é uma lacuna nas pessoas e na operação — abrir algo sem cuidado, deixar o software desatualizado, não verificar de onde veio. As defesas abaixo bloqueiam a maioria delas.
Defesa (o tipo muda, o trabalho não)
Você não precisa de uma contramedida separada por tipo. Combine as três defesas que funcionam contra malware em geral.
Previna a infecção: atualizações, arquivos suspeitos, MFA
Atualize seu SO e software regularmente para que vulnerabilidades conhecidas não fiquem sem correção. Não abra anexos, macros ou links inesperados. Proteja contas principais com autenticação multifator (MFA) para que credenciais roubadas não signifiquem comprometimento imediato (→ como escolher MFA).
Adicione uma camada de detecção: antivírus / EDR
Bloqueie ameaças conhecidas com antivírus (incluindo o embutido no seu SO) e, onde precisar de mais, use EDR para observar o comportamento e capturar também malware desconhecido (→ o que é EDR). A detecção não é perfeita, porém — nunca confie só nela.
Limite o dano: privilégio mínimo
Não faça o trabalho do dia a dia como administrador. Manter privilégios no mínimo significa que, mesmo que algo execute, não pode se espalhar longe — um dispositivo ou uma conta não desencadeia tudo.
Consiga se recuperar: backups
A defesa final é um backup. Contra ransomware, em especial, uma cópia offline / imutável mais testes de restauração regulares são o que decide o resultado (→ essenciais de backup e recuperação).
Antivírus tradicional (comparando o conhecido)
- detecta comparando a "impressão digital" (assinatura) de um malware conhecido
- leve e eficaz contra ameaças amplamente disseminadas
- tende a perder variantes desconhecidas / recém-criadas
- muitas vezes confundido com "instale e você está seguro"
EDR (observando o comportamento)
- detecta por comportamento suspeito (criptografia estranha, chamadas para fora), não pelo nome do arquivo
- percebe ataques desconhecidos e o "abuso de ferramentas legítimas"
- deixa um registro que você pode usar para investigar e conter após uma infecção
- ainda não substitui a prevenção (atualizações) e a recuperação (backups)
A visão deste site: decorar tipos não é estratégia de defesa
Os atacantes ficam mudando os nomes e a aparência. Correr atrás do "nome de malware do mês" não deixará sua defesa mais forte. O que funciona contra todos os tipos é combinar prevenção, detecção e recuperação. Este site aplica o mesmo princípio a si mesmo: mantemos as dependências atualizadas para prevenir a infecção, monitoramos CVEs por máquina para detectar e mantemos nossa configuração reproduzível para conseguir recuperar. Defender-se de malware não é algo especial; é uma extensão desses fundamentos.
Exemplo: Emotet
Uma das famílias de malware mais danosas no Japão foi o Emotet. O JPCERT/CC (o CERT nacional do Japão) alertou sobre ele repetidamente a partir de cerca de 2019 e, depois de uma pausa, a atividade voltou a ser observada a partir de novembro de 2021.
- Porta de entrada
- Anexos Word ou Excel com macros, arquivos ZIP protegidos por senha, links no corpo do e-mail. A infecção acontece quando o usuário habilita as macros ou abre o link
- Após a infecção
- Rouba o conteúdo dos e-mails e os contatos do dispositivo e os usa para enviar mais e-mails se passando por parceiros de negócio reais
- Como se espalha
- Os parceiros e conhecidos da vítima recebem algo que parece uma resposta de uma pessoa real
- Verificação
- O JPCERT/CC publicou uma ferramenta de verificação, o EmoCheck
A lição do Emotet é que o básico funciona mesmo quando um e-mail parece uma resposta de alguém que você conhece: não habilite macros em anexos e confirme anexos inesperados com o remetente por outro canal. Outro exemplo: no roubo de NEM da Coincheck, o malware em e-mails enviados a funcionários foi apontado como o primeiro passo da invasão.
Como verificar os seus próprios dispositivos
Windows: histórico de proteção e verificações
Abra Configurações e depois Segurança do Windows → Proteção contra vírus e ameaças. Confira no histórico de proteção se houve detecções e execute uma verificação completa em Opções de verificação. Se nada for encontrado, mas a suspeita continuar, execute na mesma tela a verificação do Microsoft Defender Offline para examinar o PC sem iniciar o Windows.
Veja o que inicia automaticamente e as extensões
Confira a aba de aplicativos de inicialização no Gerenciador de Tarefas e a lista de extensões do navegador em busca de algo que você não instalou. Se houver, desative e remova.
Celulares: apps e perfis de configuração
No Android, faça uma verificação com o Google Play Protect e remova apps de fontes desconhecidas. No iPhone, confira em Ajustes → Geral → VPN e Gerenciamento de Dispositivos se há perfis que você não reconhece.
Verifique também as suas contas
Revise o histórico de login do e-mail, das redes sociais e do internet banking, e confira as regras de encaminhamento automático de e-mail. Mesmo depois que o malware sai do dispositivo, as senhas roubadas continuam funcionando, então troque-as a partir de um dispositivo separado e seguro.
"Eu tenho antivírus, então estou bem" não é verdade
O erro mais comum é depender inteiramente de uma única ferramenta de detecção. A detecção sempre perde uma certa fração, e quando algo passa por ela, nada mais está protegendo você.
O que funciona é combinar defesas: reduza o volume com a prevenção (não abrir, sempre atualizar), capture o que sobra com a detecção (antivírus / EDR) e desfaça o dano do que ainda assim passar com a recuperação (backups). Não se apoiar em nenhuma camada isolada é onde a defesa contra malware começa.
Fontes (primárias)
- JPCERT/CC, "Alerta sobre a nova disseminação de infecções pelo Emotet" (em japonês) — jpcert.or.jp (rotas de infecção, EmoCheck)
- Suporte da Microsoft, "Virus and threat protection in the Windows Security app" — support.microsoft.com (em inglês; verificações e a verificação offline)
Leia a seguir
- Apareceu um pop-up dizendo "seu PC está infectado"? Como fechar um golpe de suporte técnico e o que fazer se você ligou (em inglês)
- Glossário: o que é ransomware (o tipo mais danoso — dupla extorsão) · o que é C2 (comando e controle) (como os bots são operados)
- Glossário: o que é EDR (detectar o desconhecido por comportamento) · o que é um IOC (rastros de uma infecção)
- Aprenda: essenciais de backup e recuperação (como se recuperar depois de um incidente) · a checklist de baseline de segurança (o básico de prevenção, detecção, recuperação)
- Caso: o roubo de NEM da Coincheck (2018) (malware entregue por phishing direcionado roubou a chave privada de uma carteira quente, o primeiro passo de uma perda de ~US$ 530 milhões)