Vírus, worms e cavalos de Troia

Malware (software malicioso) é qualquer software desenvolvido para interromper, danificar, obter acesso não autorizado ou exfiltrar dados de sistemas. O termo abrange muitas categorias distintas, que diferem na forma como se propagam, no que fazem e nas técnicas de detecção que conseguem evitar. O Security+ testa sua capacidade de diferenciar os tipos de malware por seu mecanismo de propagação (como se espalham), payload (qual dano ou ação executam) e mecanismo de persistência (como sobrevivem às reinicializações). As três categorias fundamentais são vírus, worms e Trojans.

Um vírus é um malware que se anexa a um arquivo hospedeiro legítimo e requer uma ação humana (executar o arquivo infectado) para se propagar. Quando o arquivo infectado é executado, o vírus se replica injetando seu código em outros executáveis, documentos ou setores de inicialização. Os tipos de vírus incluem infectadores de arquivos (que se anexam a arquivos .exe), vírus de macro (incorporados em documentos do Office e executados quando as macros são executadas), vírus do setor de inicialização (que infectam o MBR e são carregados antes do OS) e vírus polimórficos (que alteram sua assinatura de código a cada infecção para evitar a detecção baseada em assinatura).

Um worm é um malware autorreplicante que se espalha de forma independente pelas redes, sem exigir um arquivo hospedeiro ou uma ação humana. Os worms exploram vulnerabilidades de rede ou credenciais fracas para se copiarem para outros sistemas. O worm SQL Slammer, de 2003, infectou 75.000 sistemas em 10 minutos usando um único pacote UDP. O ransomware WannaCry, de 2017, espalhou-se como um worm por meio do exploit EternalBlue, que tinha como alvo o SMBv1. Os worms causam danos massivos por meio do congestionamento da rede e da entrega de payloads em grande escala. A aplicação de patches e a segmentação de redes são as principais defesas.

Um Trojan horse (ou Trojan) é um malware disfarçado de software legítimo. Diferentemente dos vírus e worms, os Trojans não se autorreplicam — dependem de que o usuário os instale acreditando que sejam algo útil: um jogo gratuito, um aplicativo crackeado, um utilitário útil, um antivírus falso ou uma atualização de software. Depois de instalado, o Trojan executa seu payload malicioso, que pode incluir a instalação de um backdoor, atuar como um RAT (Remote Access Trojan), registrar as teclas pressionadas ou baixar malware adicional. Os Trojans são frequentemente usados para estabelecer o acesso inicial antes da implantação de payloads mais prejudiciais.

O exame Security+ testa com frequência as distinções entre essas três categorias. Os principais fatores de diferenciação são: vírus exigem um arquivo hospedeiro e uma ação humana para se propagar; eles infectam arquivos legítimos. Worms são autocontidos e autopropagáveis — espalham-se automaticamente pelas redes, sem se anexar a outros arquivos ou exigir interação do usuário. Trojans não são autorreplicantes e dependem de engano — o usuário precisa ser induzido a instalá-los. Um malware pode combinar características (um worm que entrega um payload de Trojan); portanto, concentre-se no mecanismo de propagação predominante ao fazer a classificação.

Muitos Trojans e worms estabelecem comunicação com um Command-and-Control (C2) server — um servidor remoto usado pelo Attacker para emitir instruções aos hosts infectados. Um grande número de hosts conectados ao C2 forma uma botnet. As botnets são usadas para ataques de DDoS, campanhas de spam, mineração de criptomoedas e roubo de credenciais. A comunicação C2 pode usar HTTP/HTTPS para se misturar ao tráfego web normal, tunelamento DNS para se ocultar em consultas DNS ou protocolos ponto a ponto que não possuem um servidor central para ser derrubado. A detecção do tráfego C2 exige monitoramento de DNS, registros de proxy e análise do fluxo de Network em busca de padrões anômalos de beaconing.

O antivírus tradicional depende da detecção baseada em assinatura — comparação de arquivos com um banco de dados de assinaturas conhecidas de malware (hashes ou padrões de código). As assinaturas são rápidas, mas falham contra malwares novos ou modificados. A detecção comportamental (usada por plataformas EDR) monitora o comportamento dos programas em tempo real: criação de processos filhos, modificação de chaves do registro, injeção de código em outros processos ou contato com IPs conhecidos como maliciosos. A análise heurística analisa estaticamente o código em busca de padrões semelhantes aos de malware, sem exigir uma correspondência exata de assinatura. O sandboxing executa arquivos suspeitos em um ambiente isolado para observar seu comportamento com segurança.

Um vírus multipartido usa vários vetores de infecção simultaneamente — infectando, por exemplo, arquivos executáveis e o setor de inicialização. Isso dificulta a remoção completa, pois limpar apenas um vetor deixa o outro ativo para reinfectar o sistema. Vírus de macro infectam arquivos de documentos incorporando macros VBA (Visual Basic for Applications) maliciosas em documentos do Microsoft Office. Quando o documento é aberto e as macros estão habilitadas, o vírus é executado. Os vírus de macro se espalham facilmente por anexos de email. A principal defesa é desabilitar macros por padrão e permitir somente macros assinadas digitalmente por editores confiáveis.

Impedir a disseminação de malware exige defesas em camadas. Para vírus: desabilite a execução de macros, analise todas as transferências de arquivos (gateway de email, proxy web e análise de USB) e mantenha a proteção de endpoints atualizada. Para worms: aplique patches prontamente (a maioria dos exploits de worms tem como alvo CVEs conhecidas), desabilite protocolos de rede desnecessários (desabilite SMBv1), segmente as redes para limitar o alcance lateral e imponha autenticação forte em todos os serviços conectados à rede. Para Trojans: imponha uma lista de permissões de aplicativos, oriente os usuários a não instalar software não autorizado e verifique os hashes do software antes da instalação. A defesa em profundidade captura aquilo que cada controle individual não consegue impedir.

Downloads drive-by ocorrem quando visitar um site malicioso ou comprometido instala malware silenciosamente, sem qualquer ação do usuário além de carregar a página. Os Attackers exploram vulnerabilidades de navegadores ou plugins (Flash antigo, Java e leitor de PDF) para executar código malicioso. Ataques watering hole comprometem sites legítimos que a população-alvo visita com frequência, inserindo código de download drive-by para infectar os visitantes. Em vez de atacar o alvo diretamente, o Attacker “envenena o poço” e espera que as vítimas cheguem até ele. As defesas incluem manter navegadores e plugins atualizados, usar o recurso click-to-play para plugins e implantar um proxy web que bloqueie sites maliciosos conhecidos.

Quando um malware é detectado, a resposta segue o ciclo de vida de IR do NIST. Containment: isole imediatamente o host infectado (remova-o da rede ou aplique regras de firewall baseadas no host) para impedir a propagação. Erradicação: recriar a imagem do sistema é mais seguro do que tentar limpar infecções graves; a limpeza deixa o risco de mecanismos de persistência sobreviverem. Preservação de evidências: capture uma imagem da memória e uma imagem do disco antes de recriar a imagem, se forem necessários procedimentos forenses. Recuperação: restaure a partir de backups limpos, verifique a integridade e monitore atentamente sinais de reinfecção. Documente os indicadores de comprometimento (IoCs) para aprimorar a detecção futura.

Teste sua compreensão dos conceitos de CompTIA Security+ (SY0-701) abordados nesta lição.

Nesta lição, você aprendeu que: vírus se anexam a arquivos hospedeiros e exigem uma ação do usuário para se propagar, usando técnicas como o polimorfismo para evitar a detecção por assinatura; worms se autopropagam pelas redes sem ação do usuário, explorando vulnerabilidades e causando infecções rápidas e em grande escala; e Trojans se disfarçam de software legítimo para induzir os usuários a instalá-los, frequentemente estabelecendo backdoors e comunicação C2. A seguir, exploraremos detalhadamente ransomwares e cryptolockers.