Saiba como funcionam os programas antivírus

A coluna Segurança para o PC trouxe na semana passada um quiz sobre antivírus. Foram perguntas técnicas, mas relevantes. Certamente, quem sabe respondê-las faz um uso melhor da ferramenta que tem em mãos e, com isso, pode manter seu PC livre de problemas mais facilmente. Hoje a coluna traz uma explicação para cada uma das respostas, caso você tenha ficado em dúvida ou errado alguma questão.

Se você ainda não fez o quiz, teste aqui seus conhecimentos sobre antivírus antes de verificar as respostas comentadas.

Se você tem alguma dúvida sobre segurança da informação (antivírus, invasões, cibercrime, roubo de dados, etc), vá até o fim da reportagem e utilize a seção de comentários. A coluna responde perguntas deixadas por leitores todas as quartas-feiras.

Uma “assinatura” é:

Uma informação usada para detectar pragas. Assim como a assinatura do nome identifica a identidade da pessoa, a assinatura de um vírus é o que o antivírus usa para identificar que uma praga digital está presente em um arquivo. A assinatura é geralmente um trecho único do código do vírus. Procurando por esse trecho, o antivírus pode detectar o vírus sem precisar analisar o arquivo inteiro.

O que é a quarentena?

É o local onde o antivírus armazena arquivos identificados como vírus. As assinaturas nem sempre são 100% confiáveis e podem detectar vírus em arquivos inofensivos. Ao deixar os arquivos suspeitos em um local isolado e seguro, o antivírus permite que os mesmos sejam recuperados mais tarde, se isso for necessário, e impede que as pragas realizem qualquer atividade maliciosa. Idealmente, os arquivos na quarentena são criptografados ou alterados de alguma forma para que outros antivírus não os identifiquem como vírus. Isso nem sempre acontece, e a quarentena acaba gerando conflitos caso dois softwares antivírus estejam em um mesmo PC – o que não é recomendado.

Às vezes, antivírus cometem o erro de detectar infecção em programas legítimos, sem vírus. A isso se dá o nome de…

Falso positivo. Quando um antivírus examina um arquivo, ele responde uma pergunta implícita – “esse arquivo é um vírus?” A resposta pode ser positiva (“sim, é”) ou negativa (“não, não é”). Quando um antivírus dá uma resposta positiva incorretamente, diz-se que ocorreu um “falso positivo”. Quando o antivírus deixa escapar um vírus, o termo é “falso negativo”.

O correto a se fazer com um vírus que o antivírus não detecta é…

Enviar o arquivo para a empresa antivírus. Se você sabe que o arquivo é um vírus e o antivírus não o está detectando, enviá-lo para análise é a atitude mais correta a se tomar. Muitos programas possuem opções em seus menus para realizar esse procedimento. Em outros casos, os sites das empresas disponibilizam um e-mail. Enviar os arquivos ao VirusTotal também funciona, porque ele redistribui a amostra para mais de 40 empresas antivírus.

Heurística é…

Um conjunto de técnicas para identificar vírus desconhecidos. Muitos programas inclusive possuem nomes de vírus específicos para o que é detectado pela heurística. Um usuário que conhece bem o seu antivírus pode saber quando a heurística está agindo para enviar os arquivos suspeitos à companhia antivírus. O Norton AntiVirus, por exemplo, chama de “Bloodhound” o que é detectado com essa tecnologia; o NOD32, “NewHeur”. Uma detecção heurística, por ser genérica, também tem mais chance de ser um falso positivo.

Não é um uso válido da quarentena…

Isolar arquivos importantes contra infecção. A quarentena apenas serve para isolar as pragas digitais e não tem a finalidade de proteger arquivos legítimos contra infecção.

Em antivírus, chama-se HIPS (Host Intrusion Prevention System) a tecnologia que…

Analisa o comportamento dos programas em execução. É às vezes também chamada de “behavior blocking”. Usando essa tecnologia, os antivírus verificam se um programa realiza atividades suspeitas, como por exemplo envio de e-mails em massa, download de muitos arquivos, entre outros comportamentos que indicam a possibilidade de ser uma praga digital. É diferente da heurística porque só funciona com programas em execução, enquanto a heurística analise o próprio arquivo.

Atualmente, não se considera tarefa do antivírus a detecção de…

Nada. O antivírus tem o dever de detectar qualquer programa malicioso ou mesmo apenas indesejado. Até alguns anos atrás, os usuários precisavam instalar softwares separados para cada função. Ao antivírus era reservada a função de detectar apenas pragas digitais; antispywares e antitrojans se encarregavam de remover ou detectar softwares suspeitos ou de comportamento duvidoso. Hoje, tudo isso foi integrado ao antivírus. Aplicativos anti-spywares dedicados estão sumindo por não serem mais necessários.

Seu computador está infectado. O antivírus remove algumas pragas, mas não resolve o problema. Você instala outro programa, ou usa um antivírus on-line. Ele detecta mais pragas e o problema é resolvido. É correto afirmar…

Nada pode ser afirmado. Nenhum antivírus detecta 100% das pragas. No momento que um computador está infectado, é evidente que o antivírus falhou. No entanto, quantas outras pragas digitais foram detectadas, barradas ou eliminadas pelo antivírus que estava no computador até então? É muito comum esse cenário: o computador é infectado, o usuário instala outro programa, ele remove as pragas e conclui-se que o segundo software era melhor que o primeiro. É uma conclusão equivocada, no entanto, e é importante evitá-la.

O nome “W32.Beagle@mm” indica que a praga se espalha principalmente por…

E-mail (“@mm”). A coluna “Segurança para o PC” já explicou como ler o nome de pragas digitais. “@mm” é um sufixo que significa “mass-mailer”, ou seja, um vírus que envia e-mail de forma massiva. É verdade que esse vírus se espalha pela rede, já que o e-mail é um serviço da rede, mas o “W32” é de “Win32” e nada tem a ver com o termo “worm”.

A coluna Segurança para o PC de hoje fica por aqui. Volto na quarta-feira (21) com as respostas às dúvidas deixadas pelos leitores. Se você tem alguma dúvida, crítica, elogio ou sugestão de pauta, use a área de comentários logo abaixo. Até a próxima!