Questão de Segurança da Informação — Análise de Código Malicioso — CESPE / CEBRASPE 2025

Análise de malware: estática × dinâmica

❌ ERRADO. O item inverte os conceitos: a análise estática examina o código malicioso sem executá-lo (inspeção do código-fonte, strings, assinaturas, estrutura do binário), enquanto a execução em ambiente controlado (sandbox) para observar o comportamento dinâmico — chamadas de sistema, modificações no registro, comunicações de rede — é justamente a definição de análise dinâmica. O gabarito é a letra E.

A análise de malware é uma das etapas centrais da resposta a incidentes e da inteligência de ameaças. Ela se divide em duas grandes abordagens, que se complementam: a análise estática e a análise dinâmica. A confusão entre elas é um dos erros mais comuns em provas de segurança da informação, e é exatamente o que a banca explora aqui.

A análise estática é aquela que examina o código malicioso sem executá-lo. O analista inspeciona o arquivo em si: procura por strings suspeitas, analisa o cabeçalho do executável, verifica a assinatura digital, identifica o hash do arquivo, examina o código-fonte (quando disponível) ou o código de máquina descompilado. É uma análise "no papel", que não observa o comportamento do malware em execução. Sua principal vantagem é a segurança — o código não roda, então não há risco de infecção — e a velocidade. Sua limitação é que malware moderno frequentemente usa técnicas de ofuscação, empacotamento e criptografia que escondem seu verdadeiro comportamento da análise estática.

A análise dinâmica, por sua vez, é aquela que executa o código malicioso em um ambiente controlado e isolado — a sandbox — para observar seu comportamento em tempo real. É nesse momento que se observam as chamadas de sistema (system calls), as modificações no registro do Windows, as comunicações de rede, a criação de arquivos, a manipulação de processos, entre outros indicadores de comprometimento. A sandbox é um ambiente isolado que confina o aplicativo, restringindo suas operações e limitando seu acesso aos recursos do sistema, de modo que o malware possa ser estudado sem causar danos ao ambiente real. É uma técnica essencial para entender o que o malware realmente faz, especialmente quando a análise estática é insuficiente devido a ofuscação.

A pegadinha da questão está em atribuir à análise estática aquilo que é característico da análise dinâmica. O enunciado descreve perfeitamente a análise dinâmica — execução em sandbox, observação de chamadas de sistema, modificações no registro e comunicações de rede — mas a rotula como "análise estática". É uma inversão clássica de conceitos.

Para fixar, veja a comparação:

Guarde essa fronteira: estática = não executa; dinâmica = executa em sandbox. É exatamente nela que esta questão se decide.

Item — ❌ Errado ⟵ GABARITO

O item está errado porque descreve a análise dinâmica como se fosse estática. A execução do código malicioso em um ambiente controlado (sandbox) para observar seu comportamento dinâmico — chamadas de sistema, modificações no registro, comunicações de rede — é a definição precisa de análise dinâmica, não de análise estática. A análise estática, ao contrário, examina o código sem executá-lo, analisando sua estrutura, strings, assinaturas e hash. A banca inverteu os conceitos, e o candidato que não domina essa distinção cai na armadilha.

Gabarito: letra E (ERRADO).