Questão de Segurança da Informação — Ataques a Aplicações Web (XSS, CSRF, SQL Injection etc.) — FCC 2025

Remoção de Rootkits e Resposta a Incidentes

Gabarito: letra B. Para conter um rootkit que opera em modo kernel com altos privilégios, a abordagem correta é utilizar ferramentas específicas de remoção em modo de inicialização segura (Safe Mode) ou através de uma mídia bootável externa, pois isso garante que o rootkit não esteja ativo e não possa se esconder ou resistir à remoção. As demais alternativas apresentam medidas insuficientes ou inadequadas para lidar com um comprometimento tão profundo do sistema.

Um rootkit é um tipo de malware projetado para esconder a presença de um invasor e assegurar seu acesso contínuo ao sistema comprometido. Ele opera em um nível tão profundo do sistema operacional (muitas vezes no kernel) que consegue interceptar e manipular as chamadas do sistema, ocultando processos, arquivos, chaves de registro e até mesmo conexões de rede. Por isso, quando o sistema operacional está em execução normal, o rootkit tem controle total e pode se esconder de ferramentas de detecção comuns, como antivírus e scanners de malware que rodam dentro do próprio sistema.

A remoção de um rootkit exige que ele não esteja em execução. Iniciar o sistema em Modo de Segurança (Safe Mode) carrega apenas os drivers e serviços essenciais, o que muitas vezes impede que o rootkit seja carregado. Já uma mídia bootável externa (como um CD, DVD ou pendrive com um sistema operacional limpo) permite que o sistema seja iniciado a partir de um ambiente confiável, completamente fora do controle do rootkit. Nesse ambiente, é possível executar ferramentas especializadas de remoção de rootkits que podem escanear e limpar o disco rígido sem que o malware esteja ativo para se defender ou se esconder.

A escolha da alternativa B é a mais adequada porque aborda diretamente a natureza do rootkit: a necessidade de operar fora do sistema comprometido para garantir a remoção eficaz. As outras opções falham por diferentes razões: reinstalar o navegador não remove um rootkit de kernel; bloquear IPs de C2 não remove o malware já instalado; restaurar arquivos manualmente sem reiniciar não elimina o rootkit que pode reinfectar o sistema; e uma varredura com antivírus atualizado dentro do sistema operacional comprometido pode não detectar ou remover um rootkit sofisticado que se esconde do próprio sistema.

A pegadinha desta questão está em confiar em soluções de segurança tradicionais (como antivírus) ou em medidas de contenção (como bloquear IPs) que não resolvem o problema raiz: a presença persistente do rootkit no kernel. A banca explora a confusão entre conter um ataque e erradicar o malware, e entre remover um malware comum e remover um rootkit de kernel.

Alternativa A — ❌ Incorreta

Reinstalar o navegador de internet é uma medida ineficaz contra um rootkit de kernel. O rootkit opera em um nível mais profundo do que um aplicativo, e sua persistência não depende do navegador. Atualizações de aplicativos não afetam a presença de um rootkit que se esconde no kernel do sistema operacional. A afirmação de que "rootkits não persistem após atualizações de aplicativos" é completamente falsa.

Alternativa B — ✅ Correta ⟵ GABARITO

Esta é a abordagem correta. Rootkits de kernel precisam ser removidos com o sistema operacional desligado ou em um modo onde o rootkit não seja carregado. O Modo de Segurança (Safe Mode) carrega apenas o mínimo necessário, e uma mídia bootável externa fornece um ambiente limpo e confiável. Ferramentas específicas de remoção de rootkits, executadas nesses ambientes, podem escanear o disco rígido e remover o malware sem que ele possa se esconder ou resistir.

Alternativa C — ❌ Incorreta

Bloquear o endereço IP dos servidores C2 (Command and Control) no firewall é uma medida de contenção, não de erradicação. Ela impede que o rootkit se comunique com o atacante, mas não remove o malware do sistema. Manter os sistemas comprometidos operacionais para monitoramento pode ser uma estratégia de inteligência, mas não é a ação para "remover o rootkit e garantir a integridade dos sistemas", como pede o enunciado.

Alternativa D — ❌ Incorreta

Restaurar manualmente os arquivos do sistema a partir de um backup limpo, sem reinicializar as máquinas, é ineficaz. O rootkit, por operar no kernel, pode facilmente reinfectar os arquivos restaurados ou se esconder em áreas que não são cobertas pela restauração. Além disso, sem reiniciar, o rootkit permanece ativo na memória e pode continuar a operar. A reinicialização a partir de uma mídia limpa é essencial para garantir que o rootkit não esteja em execução durante a limpeza.

Alternativa E — ❌ Incorreta

Atualizar o antivírus e executar uma varredura completa no sistema operacional comprometido é uma medida comum, mas insuficiente para rootkits de kernel. Rootkits sofisticados são projetados para se esconder de softwares de segurança que rodam dentro do sistema operacional. Eles podem interceptar as chamadas do sistema e fornecer informações falsas ao antivírus, fazendo com que o malware não seja detectado. A varredura deve ser feita a partir de um ambiente externo confiável, como uma mídia bootável, para ser eficaz.

Gabarito: letra B