O que é o malware e como entra num computador

Malware é a abreviatura de malicious software, software malicioso: qualquer programa escrito para fazer algo que a vítima não autorizou. O National Institute of Standards and Technology (NIST) dos EUA define-o como software ou firmware destinado a executar um processo não autorizado que terá um impacto negativo na confidencialidade, integridade ou disponibilidade de um sistema. Esta definição é útil porque descreve o dano, não a técnica. Um programa que rouba as suas palavras-passe, um que bloqueia os seus ficheiros e um que transforma discretamente o seu computador em parte da rede de outra pessoa são todos malware, embora por dentro não se pareçam em nada.

As principais famílias, pelo que querem

Os profissionais de segurança classificam o malware em famílias consoante a forma como se espalha e aquilo que procura. Os nomes sobrepõem-se, e um único malware real combina muitas vezes várias delas, mas o vocabulário ajuda a ler notícias e conselhos com um olhar mais claro.

Como entra realmente

Nos filmes, os atacantes escrevem freneticamente para furar as defesas. As infeções reais são normalmente muito mais banais. A base de conhecimento MITRE ATT&CK, que cataloga técnicas observadas em ataques reais, lista a “execução pelo utilizador” como uma técnica à parte: o objetivo do atacante é levá-lo a abrir ou executar algo. A maioria das infeções em computadores pessoais começa assim, com uma pessoa a tomar uma decisão que, no momento, pareceu razoável.

• Um download do sítio errado: uma versão pirateada de software pago, um conversor “gratuito”, um falso leitor de vídeo que um site de streaming diz ser necessário.
• Uma falsa atualização: uma janela numa página web a afirmar que o navegador ou o Flash está desatualizado (o Flash foi descontinuado há anos, o que por si só torna a mensagem uma mentira).
• Um anexo ou link num e-mail ou mensagem que finge vir de uma transportadora, de um banco, de um colega ou de um serviço público.
• Um anúncio de pesquisa para uma app popular que leva a um site imitador com um instalador modificado.
• Uma unidade amovível: uma pen USB deixada num parque de estacionamento, ou a pen de um colega infetada noutro computador.
• Uma vulnerabilidade por corrigir: uma falha num software que já usa, aproveitada para entrar sem que faça nada. Mais rara para utilizadores domésticos, mas é a razão pela qual as atualizações importam.

Porque é que os Macs também são alvos

A ideia de que os Macs não apanham vírus nunca foi bem verdade, e é cada ano menos verdade. À medida que os Macs se tornaram comuns nos escritórios, entre criadores e entre quem detém criptomoedas, os criminosos foram atrás do dinheiro. A própria Apple documenta várias camadas de defesa precisamente porque a ameaça é real: o Gatekeeper verifica se as apps descarregadas vêm de programadores identificados e foram notarizadas, o XProtect procura software malicioso conhecido e as proteções em tempo de execução limitam o que as apps podem fazer. Estas camadas funcionam bem contra ameaças conhecidas e atacantes descuidados. São muito mais fracas contra o truque mais comum de todos, que é convencer o utilizador a contorná-las: muitas infeções no Mac começam com instruções a pedir-lhe que clique com o botão direito, escolha Abrir ou escreva a sua palavra-passe para “permitir” um instalador.

Do que precisa o malware depois de entrar

Depois de instalado, a maioria do malware precisa de três coisas. Precisa de ficar: para sobreviver a um reinício, costuma registar-se para arrancar automaticamente, por exemplo como elemento de início de sessão ou agente de arranque em segundo plano. Precisa de permissões: acesso aos seus ficheiros, ao seu porta-chaves, ao seu ecrã ou à sua câmara. E, em quase todos os casos, precisa de falar com a internet: para receber instruções, descarregar mais componentes ou enviar para fora os dados roubados. Esta última necessidade é uma oportunidade para quem se defende, porque uma ligação de rede é algo que pode ver e controlar mesmo quando não consegue perceber o que um programa está a fazer no disco.

É aqui que entra uma firewall por app como a FireAI. A FireAI não é um antivírus e não remove software malicioso, mas pergunta antes de uma app desconhecida se ligar pela primeira vez, mostra cada ligação no mapa-múndi e pode bloquear uma app ou um destino. Um programa novo que de repente tenta contactar um servidor de que nunca ouviu falar é exatamente o tipo de momento em que vale a pena parar e observar.

Sinais de que algo pode estar errado

• Uma app, um elemento de início de sessão ou uma extensão do navegador que não se lembra de ter instalado.
• O motor de pesquisa ou a página inicial do navegador mudou sozinho.
• Pedidos inesperados da sua palavra-passe, sobretudo logo depois de instalar algo.
• Ventoinhas a trabalhar e bateria a esgotar-se enquanto o computador parece estar parado.
• Contas a mostrar inícios de sessão a partir de sítios onde nunca esteve, ou amigos a receber mensagens que não enviou.
• Uma app que não reconhece a ligar-se à internet vezes sem conta.

Nenhum destes sinais prova uma infeção por si só, e vários têm explicações inocentes. Trate-os como razões para olhar com mais atenção: verifique os Elementos de início de sessão nas Definições do Sistema, reveja as apps instaladas recentemente, execute um analisador de confiança se estiver preocupado e mude as palavras-passe a partir de um dispositivo em que confie se achar que as credenciais foram expostas.