Malware — de malicious software — é qualquer código criado para causar dano, roubar, espionar ou obter acesso não autorizado. É a arma mais usada nos ataques do mundo real, e todo profissional de segurança precisa conhecer suas categorias: para reconhecê-las, defender-se delas e entender as ameaças que enfrenta. Esta aula é um mapa do "zoológico" de malware — e deixo claro desde já o enquadramento, que difere do resto do bloco: aqui o objetivo é entender e classificar malware para defender, não construir. Escrever malware funcional é justamente o que a aula Por que o hacking ético existe e o que ele quer de você e o curso inteiro não fazem; o valor está em conhecer o adversário.
Vírus e worm: como se propagam
Comece pela distinção mais básica, que é sobre como o malware se propaga. Um vírus é um código que se anexa a um arquivo ou programa legítimo e se replica quando esse hospedeiro é executado — precisa de uma ação (rodar o arquivo infectado) e de um hospedeiro para se espalhar, como um vírus biológico precisa de células. Um worm é mais autônomo e perigoso: ele se replica e se espalha sozinho pela rede, sem precisar de hospedeiro nem de ação humana, explorando vulnerabilidades para saltar de máquina em máquina. O WannaCry (aula EternalBlue: anatomia de um exploit devastador) foi um worm — usou o EternalBlue para se propagar automaticamente, e é justamente essa autonomia que o tornou tão devastador tão rápido. A diferença vírus vs. worm é, essencialmente, precisa de ajuda humana vs. espalha-se por conta própria.
O trojan que se disfarça
Em seguida, o malware que se disfarça: o trojan (cavalo de Troia). Como na lenda, ele se apresenta como algo legítimo e desejável — um programa útil, um jogo, um anexo inofensivo — mas esconde uma função maliciosa. O trojan não se replica; ele depende de enganar o usuário a executá-lo (conectando com a engenharia social do Bloco XIV). Quando você gera um payload com msfvenom disfarçado de "atualização.exe" (aula Gerando payloads com msfvenom: shells sob medida), você está criando, em essência, a mecânica de um trojan. Uma subcategoria importante é o RAT (Remote Access Trojan), que dá ao atacante controle remoto da máquina — exatamente o que o Meterpreter faz, e o que veremos nos ataques a Android (aula Segurança Android: atacando o dispositivo no seu bolso).
Ransomware, spyware e botnet
Agora os malwares definidos por o que fazem. O ransomware cifra os arquivos da vítima e exige resgate pela chave de decifração — é a praga dominante da era atual, atacando desde indivíduos até hospitais e infraestrutura crítica, e frequentemente combinando cifragem (viola disponibilidade) com exfiltração prévia dos dados (viola confidencialidade — a "dupla extorsão"). O spyware espiona silenciosamente — coleta informação sem o conhecimento da vítima; sua subcategoria keylogger registra tudo que é digitado, capturando senhas e mensagens. O adware exibe publicidade indesejada (menos grave, mas invasivo). E os cryptojackers sequestram os recursos da máquina para minerar criptomoedas em benefício do atacante (tema que reveremos na nuvem, aula Segurança em nuvem II: a cadeia SSRF → IMDS → IAM → escalação).
Rootkit e o malware fileless
Há duas categorias que merecem destaque pela sofisticação e periculosidade. O rootkit é um malware projetado para se esconder profundamente no sistema e manter acesso privilegiado, operando em níveis baixos (às vezes no kernel) para se tornar invisível ao sistema operacional e às ferramentas de segurança — é a persistência e a ocultação de rastros (aulas Persistência: garantindo que o acesso sobreviva a Ocultação de rastros: o que muda quando o hacking é ético) elevadas a uma arte, e rootkits avançados são notoriamente difíceis de detectar e remover. E o bot, uma máquina comprometida que passa a integrar uma botnet — uma rede de milhares de máquinas controladas remotamente por um atacante, usada para ataques coordenados (DDoS, spam, mineração). A botnet Mirai, que reveremos em IoT (aula Segurança de IoT: os bilhões de dispositivos conectados), transformou dispositivos domésticos em exércitos digitais.
Ameaças reais combinam categorias
Um ponto conceitual importante: essas categorias não são exclusivas — malware real frequentemente combina várias. Uma ameaça moderna pode ser um trojan (na entrega) que instala um rootkit (para persistir oculto), contém spyware (para roubar credenciais), recruta a máquina para uma botnet (para uso coletivo) e, no fim, dispara ransomware (para monetizar). As categorias são uma linguagem para descrever comportamentos, não caixas estanques. Entender essa taxonomia permite que você, ao analisar uma ameaça ou ler um relatório de threat intelligence (aula Quem está do outro lado: classificações de atacantes, APTs e motivações), compreenda rapidamente o que a ameaça faz e como se defender de cada faceta.
As camadas de defesa contra malware
Do lado defensivo — e este bloco é intrinsecamente mais defensivo —, as contramedidas contra malware formam camadas (defesa em profundidade, aula Por que o hacking ético existe e o que ele quer de você): antivírus/EDR (detecção e resposta, com as limitações que lhe são próprias); patching (fecha as vulnerabilidades que worms exploram); educação de usuários (contra trojans e a engenharia social que os entrega); backups offline e testados (a defesa definitiva contra ransomware — se você pode restaurar, o resgate perde o poder); segmentação de rede (contém a propagação de worms e a movimentação lateral); princípio do menor privilégio (limita o que um malware executado consegue fazer); e monitoramento comportamental (detecta o que o malware faz, mesmo sem reconhecer o arquivo). Cada categoria de malware tem defesas específicas, mas juntas formam a postura anti-malware de uma organização. Falta ainda analisar malware — a disciplina de dissecar código malicioso para entendê-lo —, que fecha o Bloco IX.
Fontes e leituras recomendadas
- Practical Malware Analysis — Sikorski & Honig (a referência da área)
- MITRE ATT&CK — técnicas associadas a cada tipo de comportamento malicioso
- Relatórios de threat intelligence (Mandiant, Kaspersky, Malwarebytes) — malware real catalogado
- MalwareBazaar e ANY.RUN — para estudar amostras em ambiente seguro (avançado, com cautela)
Exercícios
-
Qual a diferença fundamental de propagação entre um vírus e um worm? Dê um exemplo de worm.
✓ Resposta:Um vírus anexa-se a um hospedeiro (arquivo/programa) e replica-se quando este é executado, precisando de ação humana e de um hospedeiro. Um worm replica-se e espalha-se sozinho pela rede, sem hospedeiro nem ação humana, explorando vulnerabilidades. Exemplo de worm: o WannaCry, que usou o EternalBlue para se propagar automaticamente.
-
O que caracteriza um trojan, e como ele se relaciona com a geração de payloads (aula Gerando payloads com msfvenom: shells sob medida) e a engenharia social?
✓ Resposta:Um trojan disfarça-se de algo legítimo e desejável, escondendo função maliciosa, e depende de enganar o usuário a executá-lo (não se replica). Relaciona-se à geração de payloads (um "atualizacao.exe" malicioso é a mecânica de um trojan) e à engenharia social, que é o que convence a vítima a executá-lo.
-
Por que o ransomware frequentemente viola duas propriedades da tríade CIA, e qual é a defesa mais eficaz contra ele?
✓ Resposta:Porque cifra os arquivos (viola a disponibilidade) e frequentemente exfiltra os dados antes de cifrar (viola a confidencialidade — dupla extorsão). A defesa mais eficaz são backups offline e testados: se é possível restaurar os dados, o resgate perde o poder de coerção.
-
O que torna um rootkit especialmente perigoso, e a que fases da pós-exploração ele corresponde em forma extrema?
✓ Resposta:Um rootkit esconde-se profundamente no sistema (às vezes no kernel), tornando-se invisível ao SO e às ferramentas de segurança, e mantém acesso privilegiado — difícil de detectar e remover. Corresponde às fases de persistência e ocultação de rastros levadas ao extremo.
-
Explique por que as categorias de malware "não são exclusivas", com um exemplo de ameaça que combina várias.
✓ Resposta:Porque as categorias descrevem comportamentos, não caixas estanques, e malware real combina vários. Exemplo: um trojan (entrega) que instala um rootkit (persistência oculta), contém spyware (roubo de credenciais), recruta a máquina para uma botnet e por fim dispara ransomware (monetização).
