Questão de Noções de Informática — Malware (vírus, worms e pragas virtuais) — Quadrix 2024

Malware: fileless malware

Gabarito: letra C. O malware descrito — que não se instala no sistema de arquivos, opera na memória e abusa de recursos legítimos do sistema operacional — é o fileless malware (malware sem arquivo). Essa é a definição consagrada desse tipo de ameaça, que se distingue dos demais por não deixar rastros em disco, dificultando a detecção por antivírus tradicionais.

O termo fileless (sem arquivo) descreve exatamente a característica central: o código malicioso não é gravado como um arquivo no disco rígido. Em vez disso, ele é injetado diretamente na memória RAM, muitas vezes aproveitando processos legítimos do sistema (como PowerShell, WMI ou scripts de macros) para executar suas ações. Isso faz com que a infecção seja mais difícil de detectar, pois as soluções de segurança baseadas em assinatura de arquivos não encontram o que procurar.

Para entender a diferença, compare com o vírus tradicional: o vírus precisa se anexar a um arquivo hospedeiro e, para se ativar, depende da execução desse arquivo. O fileless malware, por sua vez, não precisa de um arquivo hospedeiro — ele vive na memória e pode ser executado diretamente por ferramentas legítimas do sistema, como o PowerShell, sem tocar o disco. Essa é a razão pela qual ele é tão perigoso: a memória é volátil e, ao reiniciar o computador, o rastro pode desaparecer, mas o dano já foi feito.

Na prática, um ataque fileless pode começar com um e-mail de phishing que contém um documento com macro maliciosa. Ao abrir o documento, a macro executa comandos no PowerShell, que baixa e executa o payload diretamente na memória, sem gravar nada no disco. O antivírus, que escaneia arquivos, pode não perceber a ameaça, pois não há arquivo para escanear.

A distinção que importa aqui é entre o fileless malware e os outros tipos listados: rogue software (falso antivírus), backdoor (porta dos fundos), rootkit (ocultação de presença) e malvertising (propaganda maliciosa). Cada um tem uma característica própria, e a banca explora exatamente a confusão entre eles. Guarde a definição de cada um: é nela que as alternativas se separam.

Alternativa A — ❌ Incorreta

O rogue software (ou scareware) é um programa que se passa por um software legítimo de segurança, exibindo alertas falsos de infecção para induzir o usuário a comprar uma versão "completa" ou a instalar outros malwares. Ele se instala no sistema (geralmente como um arquivo executável) e não opera exclusivamente na memória. A definição do enunciado não se aplica a ele.

Alternativa B — ❌ Incorreta

O backdoor (porta dos fundos) é um programa que permite o retorno de um invasor a um computador comprometido, por meio da inclusão de serviços criados ou modificados para esse fim. Ele também é um software que se instala no sistema (como um arquivo ou serviço) e não se caracteriza por operar apenas na memória. A função dele é garantir acesso remoto, não a execução sem arquivos.

Alternativa C — ✅ Correta ⟵ GABARITO

O fileless malware é exatamente o que o enunciado descreve: não se instala no sistema de arquivos, opera na memória e utiliza recursos legítimos do sistema operacional (como PowerShell, WMI, macros) para realizar atividades maliciosas. Essa é a definição técnica consagrada desse tipo de ameaça, que se tornou mais comum justamente por escapar das soluções tradicionais de detecção baseadas em arquivos.

Alternativa D — ❌ Incorreta

O rootkit é um conjunto de programas e técnicas que permite esconder e assegurar a presença de um invasor ou de outro código malicioso em um computador comprometido. Ele se instala no sistema (embora possa usar técnicas de ocultação profunda, como modificar o kernel) e sua principal função é a ocultação, não a operação exclusiva na memória. A definição do enunciado não corresponde a ele.

Alternativa E — ❌ Incorreta

O malvertising (publicidade maliciosa) é a prática de inserir códigos maliciosos em anúncios online legítimos, que, ao serem clicados, redirecionam o usuário para sites maliciosos ou disparam downloads de malware. Ele é um vetor de distribuição, não um tipo de malware que opera na memória. A definição do enunciado não se aplica a ele.

Gabarito: letra C