Questão de Segurança da Informação — Sistemas de Proteção Locais (Antivírus, Antispyware, etc.) — VUNESP 2025

Decifração Genérica (Generic Decryption) e Detecção de Vírus Polimórficos

Gabarito: letra B. A tecnologia de decifração genérica (generic decryption ou GD) permite que o antivírus execute o código suspeito em um ambiente controlado e emulado, ou seja, de forma interpretada, para que o vírus polimórfico se "revele" ao se descriptografar, sem que o código malicioso possa causar danos ao sistema real. É exatamente essa a essência da técnica: a execução segura em um ambiente virtualizado, que isola o código-alvo do ambiente real do computador.

A decifração genérica é uma técnica avançada de detecção de malware, especialmente eficaz contra vírus polimórficos. Esses vírus são capazes de alterar sua própria aparência (assinatura) a cada infecção, criptografando seu corpo e usando uma rotina de descriptografia que também muda. Isso torna inútil a busca por assinaturas estáticas, pois cada cópia do vírus é diferente. A solução encontrada foi executar o código suspeito em um ambiente seguro e observar seu comportamento.

O princípio é simples: em vez de apenas analisar o código parado (análise estática), o antivírus executa o código em um ambiente emulado, como uma "máquina virtual" ou sandbox. Ao ser executado, o vírus polimórfico precisa se descriptografar para funcionar, e é nesse momento que sua verdadeira natureza é revelada. O antivírus observa as instruções sendo executadas e, ao identificar padrões maliciosos, pode classificá-lo como vírus. Como a execução ocorre em um ambiente isolado e controlado, qualquer ação maliciosa fica contida, sem afetar o sistema operacional real, os arquivos do usuário ou a rede.

Essa técnica se diferencia da análise estática tradicional, que apenas procura por assinaturas conhecidas. A análise estática é rápida, mas ineficaz contra malware desconhecido ou polimórfico. A decifração genérica, por outro lado, é uma forma de análise dinâmica, que observa o comportamento do código em execução. É uma evolução da detecção por heurística e por comportamento, permitindo que o antivírus "veja" o que o código faz, em vez de apenas comparar bytes.

A pegadinha desta questão está em confundir a decifração genérica com outras técnicas de detecção ou com a simples inspeção estática. O candidato pode ser levado a pensar que a segurança vem de executar o código em um servidor remoto (nuvem), na GPU, ou de forma interativa com o usuário. No entanto, a essência da GD é a emulação local e controlada, que permite a execução segura do código suspeito dentro do próprio computador, sem riscos ao sistema. É essa a fronteira que separa a alternativa correta das demais.

Alternativa A — ❌ Incorreta

Afirma que o código é executado em um ambiente remoto na nuvem. Embora existam soluções de sandboxing em nuvem, a decifração genérica clássica é uma técnica que roda localmente, no próprio computador do usuário, dentro do emulador do antivírus. A execução remota não é uma característica definidora da GD, e a alternativa erra ao apresentá-la como o motivo da segurança.

Alternativa B — ✅ Correta ⟵ GABARITO

Esta é a definição correta. A decifração genérica executa o código-alvo de forma interpretada, ou seja, instrução por instrução, dentro de um ambiente emulado e controlado pelo antivírus. Isso permite que o vírus se descriptografe e revele seu comportamento, enquanto qualquer ação maliciosa fica contida no emulador, sem danificar o sistema real. É exatamente essa a técnica que permite a detecção de vírus polimórficos complexos.

Alternativa C — ❌ Incorreta

Afirma que a tecnologia não se baseia na execução de código, mas apenas em inspeção e busca por assinaturas. Isso descreve a análise estática, que é justamente a técnica que falha contra vírus polimórficos. A decifração genérica, ao contrário, depende da execução do código em um ambiente seguro para que o vírus se revele. A alternativa inverte o conceito.

Alternativa D — ❌ Incorreta

Afirma que o código é executado na GPU em vez da CPU. Não há relação entre a decifração genérica e o uso da GPU. A técnica se baseia na emulação de um processador (CPU) em software, não no uso de hardware gráfico. A alternativa é um distrator sem fundamento técnico.

Alternativa E — ❌ Incorreta

Afirma que o código é executado de forma interativa, com um prompt ao usuário a cada instrução. Isso é inviável e não corresponde à técnica. A execução na decifração genérica é automática e transparente, realizada pelo emulador do antivírus, sem intervenção do usuário. A alternativa descreve um processo manual e impraticável, que não é o que ocorre na GD.

A técnica de decifração genérica é um marco na evolução dos antivírus, permitindo a detecção de ameaças que antes passavam despercebidas. Ela representa a transição da análise estática para a análise dinâmica, onde o comportamento do código em execução é a chave para a identificação de malware. Ao entender que a segurança vem da emulação controlada, o candidato consegue diferenciar a GD de outras técnicas e acertar questões como esta.

Gabarito: letra B