Códigos maliciosos e golpes (vírus, worm, ransomware, phishing)

Como o malware chega ao dispositivo

Segundo a Cartilha do CERT.br, a infecção ocorre por:

• exploração de vulnerabilidades dos programas instalados;
• autoexecução de mídia removível infectada, como pendrive;
• acesso a página web maliciosa com navegador vulnerável;
• execução de arquivo infectado, recebido em anexo, mídia ou página;
• ação direta de um atacante que invadiu o equipamento.

Instalado, o malware age com as permissões do usuário que o ativou. Por isso a conta de administrador só deve ser usada quando necessária.

Ex.: um pendrive achado no estacionamento infecta o computador pela autoexecução, antes de o usuário abrir qualquer arquivo.

Vírus

É um programa, ou parte de programa, que se propaga inserindo cópias de si mesmo em outros programas e arquivos. Fica ativo quando o arquivo hospedeiro é executado. Tipos cobrados (CERT.br):

• propagado por e-mail: vem em anexo, infecta arquivos e envia cópias aos contatos;
• de script: escrito em VBScript ou JavaScript, chega por página web ou por e-mail em HTML e pode ser executado automaticamente, conforme a configuração do navegador e do leitor de e-mails;
• de macro: vírus de script em linguagem de macro, que infecta arquivos do Microsoft Office.

Ex.: a planilha recebida por e-mail traz uma macro; ao abri-la com macros habilitadas, o usuário executa o vírus.

Worm

Propaga-se automaticamente pelas redes, enviando cópias de si mesmo de dispositivo para dispositivo. Não insere cópias em outros arquivos: executa as próprias cópias ou explora vulnerabilidades dos programas instalados. Consome muitos recursos e pode afetar o desempenho da rede (CERT.br).

Ex.: um computador sem atualização de segurança é infectado só por estar ligado à rede da empresa; ninguém abriu arquivo algum.

Bot e botnet

O bot se propaga como o worm e ainda se comunica com o invasor, que o controla remotamente. O dispositivo infectado é chamado de bot ou zumbi. Botnet é a rede formada por muitos zumbis, usada em ataques de negação de serviço, envio de spam, propagação de malware, coleta de informações e mineração de criptomoeda (CERT.br).

Ex.: milhares de câmeras e roteadores infectados recebem a ordem de acessar o mesmo sítio ao mesmo tempo e o tiram do ar.

Cavalo de troia (trojan)

Executa as funções para as quais aparentemente foi projetado e, além delas, outras funções, normalmente maliciosas, sem o conhecimento do usuário. Não se propaga: precisa ser explicitamente executado para se instalar (CERT.br). Arquivo executável (.exe) pode conter um trojan.

Ex.: o e-mail "da Receita" traz o anexo Atualização_Cadastral.exe; quem o abre instala o código malicioso.

Backdoor, RAT e rootkit

• Backdoor: permite o retorno do invasor ao dispositivo comprometido, por meio de serviços criados ou modificados para isso.
• RAT (Remote Access Trojan): combina trojan e backdoor. Engana o usuário e dá ao atacante acesso remoto, direto e interativo, para agir como se fosse o usuário.
• Rootkit: conjunto de programas e técnicas que esconde e assegura a presença do invasor ou de outro malware. Serve para manter o acesso privilegiado, não para obtê-lo (CERT.br).

Ex.: depois de invadir um servidor, o atacante instala um backdoor para voltar quando quiser e um rootkit para que o antivírus não veja o backdoor.

Spyware

Monitora as atividades do sistema e envia as informações coletadas a terceiros. Tipos (CERT.br):

• keylogger: captura as teclas digitadas;
• screenlogger: armazena a tela e a posição do cursor a cada clique; captura o que se digita em teclado virtual;
• adware: apresenta propagandas;
• stalkerware: espiona o dono do dispositivo, que não autorizou a instalação nem sabe dela.

Ex.: ao acessar o banco, o usuário clica a senha no teclado virtual; o screenlogger grava a região da tela em volta de cada clique.

Ransomware

Torna inacessíveis os dados armazenados no dispositivo, geralmente por criptografia, e exige resgate para restabelecer o acesso. O tipo locker impede o acesso ao equipamento; o crypto, aos dados. Chega por e-mail com anexo ou link malicioso (phishing, portanto) e por sistemas sem atualização. Pagar não garante a recuperação: a garantia é ter backup atualizado, em nuvem ou em mídia fora do computador (CERT.br).

Ex.: a tela exibe o valor do resgate em criptomoeda e o prazo; a delegacia restaura os arquivos do backup da véspera e não paga.

Phishing e engenharia social

Engenharia social é enganar a pessoa explorando sentimentos como medo, confiança e pressa. Phishing é a fraude em que o golpista tenta obter dados pessoais e financeiros combinando meios técnicos e engenharia social: a mensagem se passa por comunicação oficial de instituição conhecida e leva a vítima a uma página falsa, a um formulário ou à instalação de malware (CERT.br). Variantes: spear phishing (alvo específico), smishing (por SMS) e vishing (por voz). Varredura com antivírus não evita o phishing: quem entrega o dado é a própria vítima.

Ex.: SMS avisa de multa de trânsito vencendo hoje e traz um link para "emitir o boleto"; a página falsa pede CPF e cartão.

Pharming e boato

Pharming é um tipo específico de phishing: redireciona a navegação para um sítio falso por meio de alteração no serviço de DNS, no servidor do provedor, no computador ou no modem do usuário. A vítima digita o endereço correto e cai na página falsa (CERT.br). Boato (hoax) é a mensagem de conteúdo alarmante ou falso que aponta como autora uma instituição, empresa ou órgão do governo.

Ex.: o malware troca o DNS configurado no roteador da casa; o endereço do banco, digitado corretamente, abre uma cópia da página.

Ataques e spam

• Sniffing (interceptação de tráfego): inspeção dos dados que trafegam na rede; captura o que passa sem criptografia.
• DoS: o atacante tira de operação um serviço, um computador ou uma rede; não invade nem coleta dados. Com vários computadores, é DDoS.
• Força bruta: adivinhação de usuário e senha por tentativa e erro.
• E-mail spoofing: alteração do cabeçalho do e-mail para aparentar outra origem.
• Spam: e-mail não solicitado, enviado a grande número de pessoas. Pode carregar golpe ou malware, mas não é um deles (CERT.br).

Ex.: em Wi-Fi aberto, o atacante lê a senha enviada a um sítio sem HTTPS: sniffing. Se derrubasse o sítio com acessos em massa, seria DDoS.