Questão de Segurança da Informação — Malware (Vírus, Worms, Trojans, etc.) — INSTITUTO AOCP 2023

Malware: Rootkit e a Ocultação de Presença

Gabarito: letra A. O código malicioso cuja função é esconder a presença do invasor em um computador já comprometido é o rootkit — um conjunto de programas e técnicas projetado para ocultar atividades maliciosas e assegurar o acesso privilegiado do atacante. Essa definição é a que melhor se alinha ao enunciado, distinguindo-o do backdoor, que apenas permite o retorno do invasor, sem necessariamente ocultar sua presença.

O rootkit é uma das ferramentas mais sofisticadas no arsenal de um invasor. Diferentemente de um vírus ou worm, que têm como foco a propagação, o rootkit atua na persistência e na invisibilidade. Ele opera em um nível profundo do sistema operacional, muitas vezes no kernel, o que lhe permite interceptar chamadas de sistema e esconder processos, arquivos, chaves de registro e conexões de rede associadas ao malware. O objetivo é que o sistema comprometido continue funcionando normalmente aos olhos do usuário e de ferramentas de segurança, enquanto o invasor mantém o controle.

A distinção entre rootkit e backdoor é sutil, mas crucial. O backdoor é a "porta dos fundos" — um mecanismo que permite ao invasor retornar ao sistema comprometido, muitas vezes explorando serviços criados ou modificados para esse fim. O rootkit, por sua vez, é o manto da invisibilidade — ele não necessariamente abre a porta, mas garante que a porta aberta (e tudo o que acontece através dela) não seja percebida. Na prática, um invasor pode usar um backdoor para acessar o sistema e, em seguida, instalar um rootkit para esconder o backdoor e outras atividades maliciosas.

Para fixar o contraste entre os principais tipos de malware cobrados em concursos, observe a tabela abaixo:

A pegadinha clássica desta questão é confundir rootkit com backdoor. O enunciado usa o verbo "esconder", que é a palavra-chave que aponta diretamente para o rootkit. O backdoor "permite o retorno", mas não tem como função primária a ocultação. Guarde essa distinção: backdoor = acesso; rootkit = ocultação.

Alternativa A — ✅ Correta ⟵ GABARITO

O rootkit é exatamente o conjunto de programas e técnicas que permite esconder e assegurar a presença de um invasor em um computador comprometido. Ele atua na camada mais profunda do sistema, ocultando processos, arquivos e outras evidências da intrusão, garantindo que o atacante mantenha o acesso sem ser detectado. A palavra "esconder" no enunciado é o gatilho direto para esta alternativa.

Alternativa B — ❌ Incorreta

O backdoor ("porta dos fundos") é um programa que permite o retorno de um invasor a um computador comprometido, por meio da inclusão de serviços criados ou modificados para este fim. Ele não tem como objetivo primário esconder a presença do invasor, mas sim fornecer um canal de acesso. Embora possa ser usado em conjunto com um rootkit, sua função é de acesso, não de ocultação.

Alternativa C — ❌ Incorreta

O cavalo de troia (trojan) é um programa que, além de executar as funções para as quais foi aparentemente projetado, também executa outras funções, normalmente maliciosas, e sem o conhecimento do usuário. Ele se disfarça de software legítimo para enganar a vítima, mas não tem como função específica esconder a presença do invasor em um sistema já comprometido.

Alternativa D — ❌ Incorreta

O worm é um programa capaz de se propagar automaticamente pelas redes, enviando cópias de si mesmo de computador para computador. Diferente do vírus, ele não se propaga por meio da inclusão de cópias em outros programas, mas sim pela execução direta de suas cópias ou pela exploração automática de vulnerabilidades. Sua função é a propagação, não a ocultação.

Alternativa E — ❌ Incorreta

O vírus é um programa que se propaga inserindo cópias de si mesmo e se tornando parte de outros programas e arquivos. Para se tornar ativo, depende da execução do programa ou arquivo hospedeiro. Sua função é a infecção e propagação, não a ocultação da presença do invasor.

Gabarito: letra A