Questão de Criminalística — Computação Forense — FGV 2026

Manipulação da Trap Flag (TF) em Malware

Gabarito: letra C. A manipulação da Trap Flag (TF) no registrador EFLAGS para provocar ou detectar exceções de single-step (INT 1) é uma técnica clássica de anti-debugging baseada em exceções, pois interfere diretamente no mecanismo que depuradores utilizam para executar passo a passo (single-step).

A Trap Flag é um bit no registrador EFLAGS da CPU x86 que, quando setado, gera uma interrupção de single-step (INT 1) após cada instrução executada. Depuradores usam esse recurso para realizar a depuração passo a passo. Malware pode manipular a TF para detectar a presença de um depurador ou para atrapalhar a análise, por exemplo, alterando a TF ou tratando a exceção de forma não esperada.

Alternativa A — ❌ Incorreta

Detecção de ambiente virtualizado (Anti-VM) envolve identificar se o código está sendo executado dentro de uma máquina virtual, usando instruções específicas como CPUID ou verificações de hardware. A TF não está relacionada a essa detecção.

Alternativa B — ❌ Incorreta

Técnicas de proteção contra dumping de memória visam impedir que a memória do processo seja copiada ou analisada, como criptografia ofuscação. A manipulação da TF não impede diretamente a captura de memória.

Alternativa C — ✅ Correta ⟵ GABARITO

A manipulação da Trap Flag é uma técnica de anti-debugging baseada em exceções, pois explora o mecanismo de interrupção single-step para detectar ou atrapalhar depuradores. É um padrão bem conhecido em engenharia reversa e proteção de software.

Alternativa D — ❌ Incorreta

Anti-análise baseada em temporização utiliza medições de tempo (como diferença entre timestamps) para detectar lentidão causada por depuradores. A TF não está relacionada a temporização.

Alternativa E — ❌ Incorreta

Mecanismo de detecção de hooking em funções do sistema verifica se funções da API foram redirecionadas (hooked). A TF não é usada para detectar hooks, mas sim para interferir no controle de fluxo da depuração.