Você instala um conversor de PDF gratuito e, uma semana depois, o navegador abre uma página de busca que você nunca escolheu, aparecem anúncios em sites que nunca tiveram anúncios e uma barra de ferramentas que você removeu está de volta na manhã seguinte. Nada está quebrado no sentido comum. Algo que você instalou está trabalhando para outra pessoa, e isso tem nome: malware.
Este artigo explica o que é malware, como uma infecção acontece, os principais tipos, como ele chega a computadores e celulares, os sinais a observar e como removê-lo no Windows, no Mac, no Android e no iPhone com as ferramentas que já vêm no sistema. Ele foi escrito para a pessoa dona do dispositivo; não há receita para atacantes aqui.
O que é malware?
Malware é um software escrito para agir contra a pessoa que o executa: danificar arquivos, roubar informações, exibir anúncios indesejados ou entregar o controle do dispositivo a outra pessoa. A palavra junta os termos em inglês "malicious" (malicioso) e "software". O NIST, o instituto de padrões dos Estados Unidos, o define como software ou firmware destinado a executar um processo não autorizado que prejudica a confidencialidade, a integridade ou a disponibilidade de um sistema (seus segredos, seus dados e o seu acesso a eles), e cita como exemplos vírus, worms, cavalos de Troia, spyware e algumas formas de adware.
A intenção separa o malware de um programa mal escrito: um app com bugs falha por acidente, o malware causa dano de propósito. E vírus é só um tipo de malware; muita gente chama tudo de "vírus", e é por isso que o software de segurança ainda se chama antivírus.
Como funciona uma infecção por malware?
Seja qual for o tipo, a maioria das infecções passa por cinco etapas:
- Entrega. O malware chega como um arquivo, um app, uma extensão do navegador ou um link.
- Execução. O malware não faz nada até ser executado. Normalmente é o próprio usuário que o inicia, achando que é outra coisa; às vezes uma falha em um software desatualizado, como um navegador antigo, permite que ele comece sozinho.
- Persistência. Ele dá um jeito de iniciar após cada reinicialização, se esconde da lista de programas em execução ou altera configurações. Alguns malwares editam o arquivo hosts, o pequeno arquivo do sistema que associa nomes de sites a endereços, para que o nome do seu banco leve ao servidor errado; Arquivo hosts: onde fica e como editar mostra como verificar e restaurar esse arquivo.
- O trabalho em si. Ele copia senhas e arquivos, exibe anúncios, registra o que é digitado, criptografa arquivos para pedir resgate ou espera instruções.
- Propagação. Alguns tipos se copiam para outros computadores da rede ou enviam a mesma isca das suas contas para os seus contatos.
Quais tipos de malware existem?
Os tipos de malware recebem nome pela forma como se espalham ou pelo que fazem, então um mesmo programa pode ser de dois tipos ao mesmo tempo: um cavalo de Troia pode carregar spyware.
| Tipo | O que faz | Como você pode perceber |
|---|---|---|
| Vírus | Insere uma cópia de si mesmo em outros programas ou arquivos | Arquivos que mudam ou param de abrir |
| Worm (verme) | Se espalha sozinho por uma rede | Muitos dispositivos ficam lentos ao mesmo tempo |
| Cavalo de Troia (trojan) | Finge ser um programa útil e esconde um nocivo | Os problemas começam logo depois de uma instalação |
| Spyware | Coleta informações em segredo e as envia para fora | Em geral nada; mais tarde suas contas são usadas indevidamente |
| Keylogger | Registra o que você digita, inclusive senhas | Logins de lugares onde você nunca esteve |
| Adware | Enche a tela de anúncios indesejados | Pop-ups, novas guias, uma página inicial alterada |
| Ransomware | Criptografa ou rouba arquivos e exige pagamento | Uma nota de resgate, arquivos que você não consegue abrir |
| Rootkit | Esconde a si mesmo e outros malwares no fundo do sistema | Nada visível; uma verificação offline o encontra |
| Malware de botnet | Transforma o dispositivo em um "bot" controlado a distância | Lentidão, tráfego que você não consegue explicar |
Vírus e worms diferem na forma como se movem. O NIST descreve o vírus como um código que precisa que seu programa hospedeiro seja iniciado, e o worm como um programa independente que se espalha pelas redes sem programa hospedeiro nem ajuda de ninguém, então um único worm pode alcançar muitas máquinas sem que ninguém abra um arquivo.
Os cavalos de Troia levam o nome do cavalo de madeira da lenda grega: o programa parece fazer o que promete enquanto uma parte escondida faz outra coisa. A CISA, agência de cibersegurança dos Estados Unidos, observa que softwares gratuitos às vezes os contêm.
Spyware e keyloggers tentam ficar invisíveis, coletando o que você faz e digita sem que você saiba. O ransomware é o oposto, porque se anuncia com uma exigência de pagamento; O que é ransomware e como se proteger dele? explica o que fazer se ele atingir você.
Os rootkits trabalham abaixo do nível em que os programas comuns olham, escondendo a atividade de um atacante depois que ele assume o controle total. Você também pode encontrar o termo malware sem arquivo (fileless malware): a Microsoft o usa para ameaças que vivem na memória ou abusam de ferramentas nativas do Windows em vez de deixar um arquivo normal, e observa que o termo não tem uma definição única.
Como o malware chega ao seu computador ou celular?
O malware quase sempre precisa da sua ajuda para entrar, então ele aparece onde parece algo que você queria:
- Downloads falsos e piratas: versões "grátis" de softwares pagos, geradores de chaves, botões de download em sites de compartilhamento de arquivos.
- Anexos e links de e-mail: uma fatura ou um documento compartilhado que pede para você habilitar o conteúdo ou instalar um "visualizador".
- Atualizações e alertas falsos: uma página da web dizendo que o seu navegador está desatualizado ou que o seu dispositivo está infectado.
- Extensões do navegador: muitas podem ler e alterar os sites que você visita, e uma extensão nociva pode inserir anúncios ou coletar o que você digita.
- Apps de fora das lojas oficiais: um app de Android instalado a partir de um site ou de um link em uma mensagem pula as verificações do Google Play.
- Pen drives encontrados em um estacionamento ou passados de mão em mão em um escritório.
Os apps gratuitos de VPN e de proxy merecem uma menção à parte. Um app que você não consegue ligar a uma empresa conhecida continua sendo um software rodando no seu dispositivo, e o servidor por trás dele processa o seu tráfego. Pesquisadores que mediram proxies abertos gratuitos em 2018 encontraram servidores que inseriam código de mineração de criptomoedas nas páginas e colocavam cavalos de Troia de acesso remoto em programas baixados por meio deles; Proxies gratuitos e sites de web proxy são seguros? detalha essas descobertas.
Quais são os sinais de malware?
O sinal mais claro é um aviso da ferramenta de segurança do seu próprio sistema; sem ele, procure mudanças que você não fez. Nenhum sinal isolado prova uma infecção, então trate dois ou três juntos como motivo para fazer uma verificação.
No computador, a ajuda do Chrome do Google lista os quatro primeiros itens como sinais de software indesejado, e o NCSC, o National Cyber Security Centre do Reino Unido, acrescenta os dois últimos:
- Anúncios pop-up e novas guias que não desaparecem.
- Uma página inicial ou um mecanismo de pesquisa que muda o tempo todo sem a sua permissão.
- Extensões ou barras de ferramentas que voltam depois de removidas.
- Pesquisas e links que redirecionam para sites ou anúncios desconhecidos.
- Um computador que de repente fica lento, reinicia sem motivo ou abre e fecha programas sozinho.
- Amigos recebendo e-mails estranhos ou pedidos de dinheiro da sua conta.
No celular, a ajuda do Android do Google cita reiniciar sozinho, congelar, apresentar falhas e ficar lento como sinais típicos de um app problemático, e apps que você não lembra de ter instalado também são um alerta. O NCSC acrescenta mais um: um app avisando que o celular está com root ou jailbreak, ou seja, sem as restrições de fábrica, quando você nunca fez isso.
Como remover malware?
Comece pela proteção que o seu sistema já tem; ela não exige baixar nada de um site encontrado às pressas. Se você acha que algo está enviando seus dados neste momento, desconecte-se da internet primeiro, como a CISA recomenda para computadores domésticos. Em um dispositivo do trabalho, ligue para a equipe de TI antes de mexer em qualquer coisa.
Windows: faça uma verificação offline do Microsoft Defender
O Windows 10 e o 11 incluem o Microsoft Defender Antivírus no app Segurança do Windows, que faz verificações em segundo plano. Para malwares que se escondem enquanto o Windows está rodando, use a verificação offline:
- Abra Segurança do Windows pelo menu Iniciar e selecione Proteção contra vírus e ameaças.
- Selecione Opções de verificação, escolha Microsoft Defender Antivírus (verificação offline) e selecione Verificar agora.
- Salve seu trabalho antes: o PC reinicia, faz a verificação por cerca de 15 minutos fora do Windows e reinicia de novo.
- Veja o que foi encontrado em Histórico de proteção, na Segurança do Windows.
A Microsoft explica que essa verificação roda sem carregar o Windows, o que dificulta que malwares persistentes se escondam. Depois, remova os programas que você não reconhece em Configurações > Aplicativos > Aplicativos instalados. Se o navegador continuar estranho, remova extensões desconhecidas e redefina-o; no Chrome, o caminho é Configurações > Redefinir configurações.
Mac: proteção integrada
Todo Mac tem um verificador de malware integrado, o XProtect, que não precisa de configuração. O guia de segurança da plataforma da Apple diz que ele bloqueia malwares conhecidos, move-os para o Lixo, mostra um alerta no Finder e remove infecções quando a Apple envia novas informações, que o macOS busca diariamente por padrão.
A sua parte é manter o macOS atualizado e mover para o Lixo os apps da pasta Aplicativos que você não reconhece. Em Ajustes do Sistema > Privacidade e Segurança, o menu Permitir aplicativos de decide quais apps podem abrir; a Apple considera App Store o ajuste mais seguro.
Android: Google Play Protect
Celulares Android com Google Play têm o Play Protect, que verifica os apps quando você os instala e analisa o celular regularmente, incluindo apps de outras fontes. Abra a Play Store, toque no seu ícone do perfil e depois em Play Protect, e confira nas configurações se Verificar apps com o Play Protect está ativado. Quando encontra um app nocivo, ele envia uma notificação: toque nela e depois em Desinstalar. A ajuda do Play Protect do Google acrescenta que ele também pode remover um app nocivo por conta própria.
Se o celular continuar com problemas, reinicie-o no modo de segurança, que desativa os apps que você baixou, e remova os apps instalados recentemente, um de cada vez. A forma de entrar no modo de segurança varia conforme o fabricante.
iPhone e iPad
Malware no iPhone é incomum, e o conselho da Apple para todos os usuários é curto: instale as atualizações de software, instale apps da App Store, use a autenticação de dois fatores na sua Conta Apple e não abra links nem anexos de remetentes desconhecidos. A exceção é o spyware mercenário (mercenary spyware): ataques caros contra um número muito pequeno de pessoas, como jornalistas e ativistas. A Apple avisa essas pessoas diretamente e recomenda o Modo de Isolamento (Ajustes > Privacidade e Segurança > Modo de Isolamento), que limita rigorosamente determinados apps, sites e recursos.
Depois da limpeza
Remover o malware não desfaz o que ele já levou. A CISA recomenda trocar suas senhas, inclusive as salvas no navegador, e acompanhar suas contas em busca de atividades que você não fez; faça isso a partir de um dispositivo limpo, começando pelo e-mail e pelo banco. Se a verificação não conseguir limpar um computador, a orientação do NCSC sobre dispositivos invadidos é apagá-lo e reinstalar tudo, começando pelo sistema operacional; para um celular, ela considera a redefinição de fábrica a solução mais segura. Restaure os arquivos de um backup feito antes de o problema começar, porque copiar dados de um dispositivo ainda infectado pode levar a infecção junto.
Como se proteger de malware?
A maior parte da proteção é hábito, não software extra:
- Mantenha o sistema, o navegador e os apps atualizados, de preferência automaticamente.
- Instale software só da loja oficial ou do site do próprio fabricante, nunca versões piratas.
- Deixe a proteção integrada ligada; um instalador que pede para você desativá-la já é um alerta por si só.
- Nunca instale um programa porque um pop-up ou alguém ao telefone mandou.
- Remova as extensões do navegador que você não usa mais; no Chrome, elas ficam em Extensões > Gerenciar extensões.
- Use uma conta de usuário padrão no dia a dia, para que um programa não consiga alterar o sistema sem a senha de administrador.
- Mantenha um backup offline dos arquivos que você não pode perder; o malware no computador não consegue alcançá-lo.
Um proxy ou uma VPN protegem contra malware?
Não. Um proxy ou uma VPN mudam o caminho que o seu tráfego percorre e o endereço IP que os sites veem; eles não verificam os arquivos que você baixa nem os programas que você executa. Bloquear sites maliciosos conhecidos é tarefa das listas de alerta do navegador e do seu software de segurança.
As equipes de segurança usam proxies por outro motivo: estudar páginas maliciosas sem expor a própria rede. Uma página de download maliciosa pode mostrar sua carga nociva só para visitantes que parecem as vítimas pretendidas, como conexões residenciais de um país, e uma página inofensiva para todos os outros. Por isso os analistas abrem esses links em máquinas isoladas, nunca com contas reais, por uma saída dos Proxies residenciais nesse país, para que a página possa ser documentada e denunciada.
Onde você encontra malware
Em cópias "grátis" de softwares pagos. Em anexos de e-mail disfarçados de faturas. Em extensões do navegador com poucas avaliações ou com um novo dono. Em apps instalados por links em mensagens. Em pop-ups dizendo que o seu dispositivo está infectado. Em redes de escritório, onde um computador infectado pode alcançar os outros.
Erros comuns
- Baixar um "removedor de malware" a partir de um pop-up. O pop-up costuma ser o problema; use a ferramenta que o seu sistema já tem.
- Instalar vários antivírus. O Windows desativa o Microsoft Defender Antivírus quando você instala um antivírus compatível de outro fabricante; fique com um único produto, atualizado.
- Trocar senhas no dispositivo infectado. Um keylogger registra a senha nova também.
- Restaurar um backup feito depois da infecção. Ele traz o malware de volta na hora.
- Limpar o sistema, mas não o navegador. As extensões que sobram continuam redirecionando você.
- Achar que um Mac ou um iPhone não pegam malware. Raro não é nunca.
Guia de decisão
| Sua situação | O que fazer primeiro |
|---|---|
| Pop-ups, novas guias, uma página inicial alterada | Remover extensões e programas desconhecidos, redefinir o navegador e depois fazer uma verificação |
| Uma página da web diz que o seu dispositivo está infectado | Fechar a guia; não ligar para o número nem instalar nada |
| O Windows fica estranho depois de uma instalação | Desinstalar o programa e depois fazer uma verificação offline |
| O macOS moveu um arquivo para o Lixo com um alerta | Deixar o arquivo lá e esvaziar o Lixo |
| O Play Protect sinalizou um app | Tocar na notificação e depois em Desinstalar |
| Seus contatos recebem mensagens que você nunca enviou | Verificar o dispositivo e trocar essa senha a partir de um dispositivo limpo |
| Os arquivos estão criptografados e há uma nota de resgate | Desconectar o dispositivo e seguir primeiro as orientações sobre ransomware |
| A verificação não consegue remover o malware | Apagar e reinstalar, ou redefinir o celular para a configuração de fábrica; restaurar um backup mais antigo |
Perguntas frequentes
Malware pode infectar um celular?
Sim. No Android, o caminho comum é um app instalado fora do Google Play ou um app nocivo que passou pelo controle de uma loja; a própria ajuda do Google chama esses apps de malware. No iPhone, malware é raro e se limita principalmente a spyware caro voltado para pessoas específicas.
A redefinição de fábrica remove malware?
Quase sempre: o NCSC considera a redefinição de fábrica a solução mais segura para um celular infectado, e apagar e reinstalar faz o mesmo em um computador. Restaurar um backup feito depois da infecção, ou reinstalar o mesmo app, traz o malware de volta. Um malware escondido no firmware de um dispositivo pode sobreviver a uma reinstalação, mas a Microsoft descreve essas ameaças como incomuns.
Dá para pegar malware só visitando um site?
Raramente, se o navegador e o sistema estiverem atualizados. A maior parte do malware vindo de sites precisa que você baixe e abra algo, como uma atualização falsa, um "player de vídeo" ou um documento. Um navegador desatualizado pode ser atacado pela própria página, e é por isso que as atualizações automáticas importam.
Um pop-up de "seu dispositivo está infectado" é real?
Não quando aparece em uma página da web. Os alertas reais vêm da Segurança do Windows, do macOS ou do seu app de segurança, e a Microsoft afirma que suas mensagens de erro reais nunca incluem um número de telefone para ligar. O Google lista esses alertas entre os sinais de software indesejado, e o NCSC recomenda desligar quando alguém ligar dizendo que o seu dispositivo está infectado.
O que é software antimalware e é preciso comprar um?
Antimalware é outro nome para software antivírus; os produtos atuais procuram todos os tipos de malware, não só vírus. O Windows inclui o Microsoft Defender Antivírus, o Mac inclui o XProtect e os celulares Android com Google Play incluem o Play Protect, então a maioria dos usuários domésticos já tem um rodando. Um produto de outro fabricante é uma escolha, não uma exigência.
Malware pode roubar suas senhas?
Sim. Spyware e keyloggers existem para isso: eles leem as senhas salvas no navegador ou as registram enquanto você digita. Depois de uma infecção, troque suas senhas a partir de um dispositivo limpo, começando pelo e-mail, porque pelo e-mail é possível redefinir quase todo o resto.
Em resumo
Malware é um software que trabalha contra você, e a maior parte dele entra porque parece algo que você queria. Fique atento a mudanças que você não fez, use a proteção que o seu sistema já tem e depois troque suas senhas a partir de um dispositivo limpo. Atualizações, lojas de apps oficiais e menos extensões evitam a maioria das infecções. Equipes que estudam páginas maliciosas encontram na nossa página de segurança de dados como usar proxies nesse trabalho.
