A falsa sensação de segurança dos softwares antivírus

Você acabou de pagar uma boa quantia pela renovação da licença do seu software antivírus, antispyware, antimalware, ou seja qual for o nome que estejam usando hoje em dia. Se você for um usuário mais exigente e bem informado, é possível que tenha adotado um antivírus de uma determinada marca após extensa pesquisa em sites de fabricantes, críticas de revistas especializadas e testes independentes, além de uma cuidadosa análise da relação benefício/custo.

O malware se instala nas "frestas" que o seu sistema de segurança deixa abertas. 
Imagem: “Malware Internet Represents World Wide Web”  por
Stuart Miles, cortesia de Freedigitalphotos.net

E então, está se sentindo mais seguro? Pois leia este trecho de notícia do G1:

"O pesquisador do Google Tavis Ormandy está analisando a segurança de programas antivírus e anunciou na semana passada que enviará um relatório para a fabricante de antivírus Avast. A empresa é a terceira a receber um comunicado sobre brechas de Ormandy este ano: as outras duas foram a Eset e a Kaspersky Lab e, em ambos os casos, os antivírus tinham brechas críticas.

(...)

Ormandy destacou que os programas antivírus possuem falhas de projeto ao interferirem com componentes do sistema e realizar a leitura de todos os arquivos automaticamente sem utilizar tecnologias que reduzem o impacto de brechas no software. Ele também citou que falhas em antivírus são vendidas no mercado negro de vulnerabilidades."

Nada disso é novidade para quem se interessa a sério por segurança de dados: não existe sistema de segurança que, ele próprio, não contenha vulnerabilidades que precisam ser corrigidas. Mais: não existe sistema de segurança capaz de proteger o usuário contra o próprio comportamento descuidado.

De fato, na melhor das hipóteses, esses programas reduzem a "superfície de ataque", isto é, fecham os pontos vulneráveis mais óbvios de um sistema, evitando os ataques automatizados mais conhecidos. Mas eles pouco ou nada podem fazer contra adversários tão determinados que estejam dispostos a pagar por tecnologias que explorem as vulnerabilidades do próprio sistema de segurança.

Reduzindo a superfície de ataque em sistemas corporativos: infográfico da Kaspersky Labs.

A melhor política de proteção digital pode ser resumida numa simples paráfrase de um famoso aforismo do Templo de Apolo, em Delfos: "Conhece o teu sistema". Quanto melhor você entender o funcionamento do seu computador, quanto mais você souber sobre o que fazem e para que servem os programas instalados em seus dispositivos, mais seguro você estará.

O problema que se coloca para quem usa sistemas Windows é: como, afinal, entender como funciona o sistema operacional Windows se ele tem o seu código-fonte "fechado"? Na verdade essa é, exatamente, a principal falha de segurança do Windows: profissionais de segurança independentes não podem examiná-lo em profundidade, de modo que você precisa confiar cegamente na "maravilhosa equipe de profissionais de segurança" da Microsoft.

O mesmo princípio que vale para o sistema operacional também é válido para todos os programas de código fechado que rodam sobre o Windows, inclusive os softwares antivírus. Quem confiou cegamente na "maravilhosa equipe de profissionais de segurança" da Avast, da ESET e da Kaspersky esteve vulnerável durante um período de tempo impossível de estimar.

Qual será a solução? Mudar para antivírus de outro fabricante? Ora, ao fazer isso, você estará apenas trocando uma vulnerabilidade conhecida por um conjunto de vulnerabilidades desconhecidas!

Para oferecer um testemunho pessoal, estou usando, atualmente, o antivírus ESET em um sistema com Windows 8.1 e posso afirmar que, neste ano de experiência, ele ofereceu uma proteção bastante decente, fazendo o que se espera dele de forma exemplar, de modo que pretendo renovar a licença quando expirar. Porque o ponto mais vulnerável em qualquer sistema, digo e repito, é o comportamento do usuário. Nas ocasiões em que adotei comportamento de risco na internet, não houve antivírus de fabricante nenhum que fosse capaz de impedir a infecção de meu computador. Para ficar num exemplo recente, há pouco mais de dois meses um velho notebook ficou infectado por malware menos de um minuto após a reinstalação do Windows, antes que eu tivesse tempo de baixar um programa antivírus, simplesmente porque cliquei em um resultado de pesquisa Google que levava a um site de malware! Em um sistema Windows, basta um momento de descuido para que um programa malicioso assuma o controle!

Há muitas opções de sistemas operacionais livres, seguros e éticos.
Na imagem acima você vê, em ordem alfabética,  as recomendações do site "Prism-break",
que avalia softwares com base em sua ética,segurança e respeito à privacidade.

Por tudo isso, é que recomendo novamente a todos os leitores deste blog: mantenha um computador alternativo com Debian GNU/Linux* para o seu trabalho sério, reservando sua máquina Windows para games e visitas a redes sociais, de modo a minimizar o dano em caso de infecção por malware. Use esse computador alternativo o máximo que puder e aproveite para estudar o sistema e entender como ele funciona. Você rapidamente descobrirá que:

1 - Segurança é uma filosofia de trabalho que deve fazer parte do projeto do sistema. Um sistema concebido para ser seguro revela esse traço do projeto a cada programa que você usa. Não, os sistemas Debian GNU/Linux não são menos vulneráveis do que os sistemas Windows só porque são "menos usados". Os sistemas Debian GNU/Linux são mais seguros do que os sistemas Windows porque são projetados para ser mais seguros.

2 - Comodidade e Segurança caminham em direções opostas. Um sistema mais seguro tenderá a ser mais "chato" de usar do que um sistema inseguro, envolvendo mais passos, mais confirmações de segurança, mais procedimentos extras do que um sistema cheio de buracos como o Windows. Para entender o motivo, basta pensar nas portas e janelas de sua casa: quanto maior o número de trancas, cadeados e fechaduras que você instalar, mais segura ficará sua casa, porém, você terá muito mais trabalho para entrar e sair.

3 - Não existe substituto para a inteligência. A principal característica de segurança de um sistema Debian GNU/Linux é que ele permite que o usuário tenha tempo para pensar nos riscos que está correndo, para ponderar se realmente "precisa desesperadamente" instalar aquele programa inseguro no próprio computador ou se pode muito bem continuar vivendo sem ele. Enquanto o Windows funciona como um grande "shopping center digital", estimulando a aquisição impulsiva de aplicativos e, portanto, um comportamento digital inseguro, um sistema Debian GNU/Linux o estimula a entender o que está fazendo, a perguntar a si mesmo se realmente precisa daquela solução específica.

4 - Nenhum sistema é seguro apenas por ser Linux. Eu costumo brincar dizendo que o Android é um "sistema operacional Windows baseado em Linux". Como os sistemas que rodam em celulares e tablets precisam ser, obrigatoriamente, muito fáceis de usar, eles são obrigados a incorporar um grande número de vulnerabilidades do Windows em seu projeto. Além disso, a viabilidade econômica dos sistemas Android envolve o estímulo à compra e instalação impulsiva de "apps", transformando-os em "shopping centers digitais" em tudo semelhantes ao Windows, inclusive no grande número de brechas de segurança. De modo análogo, o extremamente popular sistema operacional Ubuntu Linux, embora desenvolvido a partir do Debian GNU/Linux, apresenta diversos inconvenientes de privacidade e falhas de segurança.

5 - Ninguém aprende nada sem estudar. Se você pretende usar um sistema Debian GNU/Linux com o mesmo nível de despreocupação com que usa o Windows, rapidamente desistirá. Para realmente extrair o máximo de um sistema Debian GNU/Linux, você precisará de alguma disposição para estudar e entender como as coisas funcionam. Por outro lado, quanto mais você estudar o Debian GNU/Linux, mais claras se tornarão para você as fraquezas, vulnerabilidades e inconsistências do sistemas Windows.

Em resumo, você não deve confiar nos softwares antivírus como substitutos para o seu conhecimento e sua inteligência. Use-os como um reforço extra destinado a reduzir a "superfície de ataque" ao seu sistemas, mas faça a si mesmo o favor de ignorar os apelos de marketing dos fabricantes de antivírus e cuide de aprimorar sempre a melhor defesa contra os ataques digitais: o seu próprio cérebro.

------------------------
NOTA:

* Neste artigo, menciono o Debian GNU/Linux apenas por ser o que conheço melhor, já que o uso em meu computador principal. O Debian GNU/Linux é um sistema operacional com ótima reputação em termos de facilidade de uso, segurança e ética, embora não se possa dizer o mesmo de todos os sistemas "baseados em Debian".

Duas outras distribuições Linux com excelente reputação que já usei em notebooks e que mantenho instaladas em máquinas virtuais para testes e aprendizado são a Fedora e a openSUSE, cada uma delas com seus próprios encantos e problemas, ambas muito seguras e relativamente fáceis de usar.

Uma distribuição que ainda não testei mas que se destaca pela soberba qualidade de sua documentação é a Arch Linux. Sempre recorro ao wikisite do Arch Linux para entender todos os detalhes importantes relativos à segurança de meu computador, mesmo me mantendo fiel ao Debian.

Boleto de cobrança por email? Vírus!

Mais uma fraude virtual capaz de pegar pessoas desprevenidas, especialmente nesta época de fim de ano. O email vem com o seguinte texto:

"Prezado Cliente [SEU EMAIL]

Conforme acordo firmado junto a empresa credora,
estamos enviando o boleto de pagamento conforme o combinado:
 
Caso tenha problemas para visualizar o boleto, clique aqui".


É claro que, ao clicar no link, você cai num site drive-by que instala vírus em seu computador, como você pode conferir na página do VirusTotal:



Repare que antivírus como Avast, AVG, Avira, ClamAV, Comodo, McAfee e Microsoft ainda não pegam esse cavalo de troia. Para variar, o melhor antivírus continua sendo a sua política de segurança no mundo virtual.

Até que ponto seu antivírus pode proteger sua máquina de você mesmo?

Já defendi no post “Spam e vírus: esse problema tem solução” que a proteção do seu computador depende muito mais do seu comportamento como usuário de internet do que dos programas antivírus sofisticados e caros que você eventualmente tenha instalado em sua máquina.

O motivo é muito simples: as pessoas que desenvolvem vírus também costumam fazer testes de seus “produtos”, para verificar se eles conseguem burlar a vigilância das versões mais atuais de pelo menos de alguns dos antivírus mais populares.

Ao enviar milhões de cópias de um spam mail contendo o anexo infectado ou um link para um site “drive by” (1), o spammer sabe que alguns milhares de seus destinatários confiam nas soluções antivírus que sua criação consegue enganar. Deste modo, há uma grande probabilidade de que seu “ataque de dia zero” (2) seja um sucesso, infectando grande número de computadores.

O grande risco a que se expõe o usuário descuidado é que seu programa antivírus simplesmente ignore a ameaça que está tentando se instalar em seu computador, deixando-o à mercê das intenções criminosas do criador do vírus.

Veja que essa não é uma questão de procurar um “antivírus melhor”. Se você percorrer os fóruns da internet em busca de informações sobre antivírus, você vai ver discussões tão apaixonadas como as de torcedores de times de futebol rivais, com usuários dos diferentes produtos defendendo suas preferências com uma devoção que chega a se aproximar do fanatismo.

De fato, se você pesquisar a questão mais a fundo, encontrará organizações que fazem testes independentes dos diferentes produtos antivírus, como o respeitado AV Comparatives.

Os testes do AV Comparatives são realizados com uma metodologia rigorosíssima, mas nem todo mundo é capaz de compreender exatamente o que está sendo testado, nem de compreender completamente os resultados.

Se você tiver paciência para destrinchar os relatórios antigos da AV Comparatives você vai reparar rapidamente que, muitas vezes, um produto “Advanced+” em um teste é rebaixado para um nível inferior no teste seguinte, enquanto alguns produtos mal avaliados em um teste vão progredindo até conseguir as pontuações mais altas.

Assim, podemos que dizer sem medo de errar que não existe uma “marca melhor” de antivírus, já que toda superioridade é circunstancial e os concorrentes correm atrás para cobrir a diferença de desempenho...

Sempre lembrando que os criadores de vírus também estão sempre correndo atrás de métodos para enganar as versões “novas e melhoradas” dos programas antivírus.

Também é absolutamente falso o mito muito difundido de que só os antivírus pagos são bons, enquanto as versões gratuitas oferecem proteção inferior. Versões gratuitas de programas antivírus como o Avast, AVG, Avira, Kaspersky ou BitDefender oferecem proteção tão boa quanto as versões pagas dos mesmos programas (as versões pagas vêm com opções extras, não com mecanismos de detecção superiores) ou quanto programas somente disponíveis em versões pagas, como os tradicionais Norton, McAfee e Trend Micro, ou o novo "queridinho dos internautas", o NOD32, da ESET.

Por isso, nunca é demais enfatizar que você pode estar com o melhor antivírus do mundo e, ainda assim infectar seu computador, bastando agir de forma descuidada. Escolha um bom antivírus para obter a proteção básica e comece a vigiar o maior fator de risco, que é o seu próprio comportamento online.

Ao longo deste artigo, você pôde ver resultados de meus próprios testes ao baixar vírus da internet. É lógico que não se pode comparar a minha experiência individual com a metodologia rigorosa do AV Comparatives.

O que quero deixar claro para você é outra coisa bem diferente: mesmo que você tivesse escolhido o melhor antivírus do ranking do AV Comparatives, seu computador, hoje, estaria infectado com mais de uma dezena de cavalos de tróia diferentes caso tivesse clicado nos links que eu cliquei e visitado os sites que eu visitei no último mês!

Para infectar seu computador, basta um descuido. Por isso é preciso ir além da preguiçosa instalação de softwares de proteção imperfeitos e começar a confiar mais em desenvolver sua percepção das estratégias dos golpistas e criminosos que infestam a internet. Quanto mais você tiver consciência das artimanhas desses sujeitos, mais protegido você estará, inclusive contra os mais sofisticados ataques de dia zero.

----
Notas:

(1) “Drive by attack” é um método de instalação de vírus sem conhecimento do usuário: basta acessar o site para que sua máquina seja infectada.
(2)"Ataque de dia zero" ("Zero day attack") é o ataque que explora uma vulnerabilidade ainda não detectada no sistema, por exemplo, usando um vírus não detectado pelo seu software de segurança.