Palavra vírus escrita em código

Da necessidade de antivírus em computadores e celulares


1/2/17 às 14h22

Em 1983, o cientista da computação Fred Cohen publicou um artigo acadêmico que detalhava um tipo de programa de computador capaz de “afetar outros programas modificando-os de modo que inclua uma (possivelmente melhorada) cópia de si mesmo”. Para se referir a essa então novidade, ele cunhou, no mesmo trabalho, o termo “vírus de computador”.

Mais de 30 anos depois, a indústria de segurança digital está consolidada e é, talvez mais do que em qualquer outro ponto da história, necessária frente aos avanços daqueles que querem destruir, invadir ou lucrar violando toda a sorte de dispositivos digitais presentes em nossas vidas.

Uma das vertentes da segurança digital mais difundidas se materializa na forma do antivírus, um programa que monitora ininterruptamente toda a atividade em um sistema a fim de protegê-lo. Mas até que ponto a confiança neles chega? O retorno compensa as falhas que o antivírus traz consigo? Ele é a única ou a melhor defesa de que dispomos? Afinal, quem vigia os vigilantes?

Profissionais envolvidos em dois dos maiores navegadores web da atualidade, Chrome e Firefox, recentemente declararam que os antivírus são grandes obstáculos à segurança plena de seus produtos. Segundo esses relatos, os antivírus atuam de maneira invasiva nos sistemas e, com frequência, sobrescrevem funções mais seguras nativas dos navegadores ou acrescentam novos pontos fracos ao funcionamento deles. Justin Schun, chefe de segurança do Chrome, declarou que os antivírus são “meu maior empecilho para entregar um navegador seguro.”

Essas declarações se somam a questionamentos a respeito da necessidade de antivírus num momento em que os sistemas são, em regra e por padrão, bastante seguros. Tudo isso nos faz questionar. Chegou a hora de dar as costas ao antivírus?

O paradoxo do antivírus

É da natureza do antivírus esse comportamento intrusivo. A fim de proteger o sistema, ele exige acesso privilegiado ao mesmo. Faz sentido, mas isso não o exime de falhas. Na mesma medida em que protege o usuário de danos potenciais causados por vírus, cavalos de Troia e outros tipos de malware, embrenhar-se em pontos sensíveis, como o kernel, espécie de central de controle de partes fundamentais de um sistema operacional, faz com que o próprio antivírus possa se transformar em vetor de ataques.

Não melhora muito a situação o fato de que antivírus não costumam ser exemplos de boas práticas e zelo em desenvolvimento. Em junho do ano passado, como apontou a reportagem do Ars Technica, o Project Zero do Google, iniciativa que busca por falhas em softwares de terceiros, descobriu 25 vulnerabilidades de alta gravidade nos produtos de segurança da Symantec, dona da marca Norton. Falhas também foram descobertas em produtos de outras empresas famosas do segmento como Kaspersky, McAfee, Eset, Comodo e Trend Micro.

Às vezes, as brechas são deliberadas. Em um caso emblemático, recentemente a Kaspersky publicou em seu blog um alerta sobre o app chinês Meitu e o excesso de permissões que ele exige para funcionar. Matthew Garret, especialista em segurança do Google, publicou em seu perfil no Twitter a lista de permissões que o app da Kaspersky exige para funcionar no Android. É maior que a do Meitu.

Permissões do app da Kaspersky para Android.

Tome fôlego aí porque ainda não acabou. Num caso peculiar e extremo, vimos que disputas mercadológicas pautadas por atitudes moralmente questionáveis entre as próprias empresas de segurança podem acabar respingando no consumidor. Nesta semana, a Baidu foi condenada pela justiça de São Paulo a indenizar em R$ 440 mil a rival PSafe por concorrência desleal. Em paralelo, deve ainda lançar uma atualização do DU Speed Booster, app para Android, removendo a indicação de que o PSafe Total é ou contém um vírus, situação que motivou a ação movida pela PSafe. No processo, o laudo técnico confirmou que a ameaça era inexistente e que, portanto, a recomendação para que o usuário desinstalasse o produto rival, emitida pelo DU Speed Booster, não tinha respaldo, sendo apenas um engodo para prejudicar a reputação do app concorrente.

Os problemas com antivírus, tanto em sistemas desktop quanto nos smartphones, transcendem questões que envolvem a segurança e a privacidade do usuário — e as picuinhas entre empresas. Frutos da má programação dos antivírus, ocorrem, também, interferências no desempenho e na estabilidade dos sistemas onde eles atuam. Desde muito cedo, esses fatores são levados em conta nas avaliações de antivírus e mesmo com tanto tempo passado e com a queda e ascensão de plataformas diferentes, esse dilema parece não ter solução. Seriam, como são outros fatores tal qual o excesso de permissões para funcionar no Android, comprometimentos inerentes desse tipo de software.

“Desinstale o seu antivírus”

Diante de tantos argumentos, é natural que qualquer um que use antivírus, seja qual for, cogite desinstalá-lo. Robert O’Callahan, ex-desenvolvedor do Firefox, é um dos que pregam essa abordagem. Para ele, todo antivírus é horrível e deve ser desinstalado — com exceção do da Microsoft, que já vem embutido no Windows e que é “no geral competente” no que tange à observação dos padrões de segurança. A contrapartida, ainda segundo O’Callahan, é manter os seus sistemas sempre atualizados. Isso evita a maioria dos ataques que podem ser explorados através de falhas do tipo “Zero Day”, ou seja, aquelas que se tornam conhecidas apenas quando ataques ao sistema comprometido começam a acontecer.

Os sistemas operacionais mais populares atualmente contam com defesas bastante eficientes que independem de software extra como os antivírus, o que dá embasamento às orientações de O’Callahan. O ecossistema fechado do iOS, por exemplo, mitiga a presença de apps maliciosos. Mesmo no Android, onde é possível instalar apps por fora, há um trabalho para evitar estragos maiores — essa possibilidade vem desativada de fábrica. O Windows, como dito, tem um antivírus nativo, livre das críticas listadas acima e relativamente bom em sua tarefa, e a Microsoft vive testando e implementando recursos auxiliares como o SmartScreen, um filtro contra apps maliciosos e páginas web usadas para ataques com base em engenharia social.

Atualmente, aliás, os maiores riscos decorrem de engenharia social, ou seja, quando alguém engana a vítima a fim de obter vantagens, fazendo com que ela forneça dados sem perceber o que está fazendo. Um exemplo clássico é o envio de e-mails falsos, se passando por bancos ou lojas, que exigem dados do usuário ou cliques em links suspeitos. Alguns são (muito) mais elaborados, como este, que insere uma imagem no local e idêntica ao indicador de anexo no Gmail, levando o usuário a clicar em um link malicioso pensando estar abrindo o anexo. Outro, também moderno e mais difundido, acomete smartphones Android e se manifesta na forma de popups em sites da web que alertam o usuário sobre supostos vírus e outras ameaças detectadas e, convenientemente, oferecem um app que solucionaria o tal problema.

Alertas de supostos vírus no Android.
Imagens: Twitter (2) (3).

Ainda é preciso considerar situações em que o usuário nada faz de errado e acaba vitimado por ações alheias. Veja o caso do jornalista Kevin Roose. Em 2016, ele foi à Defcon, maior feira de segurança digital do mundo, e pediu para ser hackeado.

Dois hackers conseguiram, de forma independente, acesso às suas informações. O primeiro foi bem sucedido com a velha engenharia social, enviando um link de recuperação de senhas do serviço de blogs que Roose usava e, através disso, instalando um trojan em seu computador. Mas a segunda hacker nem passou perto de qualquer dispositivo de Roose. Ela ligou para o SAC da sua operadora de telefonia fingindo ser sua esposa e, com um bom papo e o barulho de choro de um bebê ao fundo (vindo diretamente de um vídeo qualquer do YouTube), convenceu a atendente a trocar a senha de acesso à conta dele no serviço. Dali, muita coisa ruim poderia ter sido feita. Em um ponto da entrevista, o primeiro hacker diz que poderia deixar Roose sem um centavo no banco e morando na rua.

O combate a esses ataques não depende tanto de software. É mais uma questão de letramento digital, de conscientização. Aplicar boas práticas de segurança, ativar recursos como a autenticação em dois passos nos serviços que têm isso, tomar cuidado com links em grupos de WhatsApp e anúncios apelativos na web e no Facebook, por exemplo. Só de restringir a instalação de apps aos oferecidos via Google Play e, desde o Android 6.0, atentar-se às permissões pedidas pelos apps quando abertos pela primeira vez, as chances de acabar vítima de um ataque moderno caem drasticamente.

Podem parecer atitudes simples a uma audiência digitalmente educada, como é a do Manual do Usuário, mas no mundo real a coisa é mais embaixo. Nada do que é citado no parágrafo acima é óbvio; o que nos parece trivial costuma deixar as pessoas genuinamente em dúvida. Ora, tem gente que ainda cai no conto do bilhete… seria má-fé ou ingenuidade esperar que a massificação do smartphone viesse acompanhada de uma iluminação quanto aos perigos que a rede enseja.

Mas eu preciso de antivírus?

Nesse aspecto, os antivírus se encontram em uma posição privilegiada: desfrutam do status adquirido no tempo em que a informática era mais primitiva, com sistemas frágeis e ambientes sem controle, e, portanto, eles próprios (os antivírus), mais úteis. Dessa forma, conseguem alcançar perfis que creem, ainda que por motivos diferentes dos reais riscos contemporâneos, na importância de uma camada extra de proteção.

O que fazem com esse canal? Em uma breve consulta à loja de apps do Google, observei as descrições de alguns dos antivírus mais populares para Android. A maioria destaca a capacidade de detectar e eliminar vírus:

Obtenha o [antivírus] para tablets Android™ para ajudar a se proteger contra vírus nocivos e manter seus dados pessoais em segurança.

Recursos do produto
* Verifique o dispositivo em busca de malware, spyware e cavalos de Troia
* Remova vírus e outras ameaças de dispositivos móveis

Antivírus: Proteção em tempo real. Conte com a maior e mais atualizada base antivírus para combater ameaças digitais na América Latina. Tudo por um Android™ seguro, livre de vírus e realmente protegido.

Vírus para Android existem, não é esse o ponto. Acontece que eles não são a maior ameaça no dia a dia de quem usa um smartphone, especialmente aqui no Brasil, onde a Play Store funciona e é hegemônica. Em países como Rússia e China, onde a instalação de apps por vias alternativas à do Google é a norma, já que ela não existe lá, o risco realmente é grande. Mas aqui? Apresentar-se aos usuários dessa forma, como se infectar o Android fosse algo trivial e corriqueiro, passa uma sensação ruim a quem sabe que não é o caso. Fica parecendo sensacionalismo barato, um alarmismo necessário para justificar o app, como se faltassem argumentos para convencer alguém a ter um antivírus no celular.

E, convenhamos, a própria indústria não se ajuda. Vender antivírus para iOS, antivírus para macOS, antivírus para smartwatches, todas plataformas mais seguras que a média, além dessa abordagem terrorista no Android, mina a credibilidade dessas empresas.

Esses antivírus para Android fazem mais que isso e, acho, é nessas habilidades extras que eles têm valor. São coisas importantes no contexto atual: bloqueiam links usados para ataques do tipo phishing, bloqueiam contatos indesejados, rastreiam e agem remotamente em smartphones perdidos ou roubados, monitoram a privacidade, impedem a utilização às escondidas de recursos do smartphone — como o envio de SMS, vetor usado por muitos estelionatários para lucrar em cima de usuários desligados em serviços de SMS premium.

Nada disso fica sem respaldo em um Android atualizado. O sistema do Google oferece recursos idênticos ou similares por padrão, ainda que não sejam apresentados de maneira óbvia ou facilitada. Por centralizarem e serem, no geral, mais acessíveis ao usuário médio, os apps de segurança (auto-referidos como antivírus) para Android cumprem uma função aqui. Para certos perfis de usuários, eles são válidos, portanto.

No fim, aquela velha pergunta, se antivírus é necessário, cai numa velha resposta, a do “depende”. Mesmo entre especialistas não há consenso. A vida, mesmo quando em abstrações toscas como os sistemas digitais binários que usamos em smartphones e computadores, nunca tem respostas prontas, ou fáceis.

Falando por mim, faz no mínimo sete anos que não uso antivírus em nenhum sistema, de computador ou celular, e em todo esse período não tive qualquer prejuízo. Ok, em 2012, instalei um “WhatsApp para computador” no Facebook (antes do WhatsApp Web existir) que era lorota e se espalhava para a lista de contatos, situação da qual, imagino, um antivírus não me protegeria e que de qualquer forma não causou danos fora um leve abalo no meu ego. A lição que ficou é que não existe sistema totalmente seguro nem usuário tão esperto a ponto de jamais cair num golpe — com ou sem antivírus.

Talvez um bom parâmetro para se chegar a uma resposta individualizada diferente do “depende” se esconda na própria pergunta: se a estiver fazendo, é bem provável que você não precise de antivírus.

Imagem do topo: Yuri Samoilov/Flickr.

Colabore
Assine o Manual

Privacidade online é possível e este blog prova: aqui, você não é monitorado. A cobertura de tecnologia mais crítica do Brasil precisa do seu apoio.

Assine
a partir de R$ 9/mês