Trojan

Tudo sobre trojans

Cautela com os gregos que trazem presentes

No poema épico de Virgílio, a Eneida, um inteligente estratega de guerra grego chamado Ulisses elabora um plano para colocar os seus homens no interior da cidade murada de Troia. Em vez de destruir ou escalar as muralhas da cidade, Ulisses vê outra via de entrada: com o engano. Os soldados troianos observam enquanto os gregos parecem afastar-se nos seus navios, deixando para trás um gigante cavalo de madeira como sinal de rendição. Embriagados pela vitória, os troianos levam o cavalo para dentro das suas muralhas, apenas para descobrir que, durante todo esse tempo, Ulisses e os seus homens estavam escondidos no interior.

Como o seu homónimo, ataques de cavalo de Troia, ou simplesmente trojans, utilizam o embuste e a engenharia social para enganar utilizadores incautos a executarem programas de computador aparentemente benignos que ocultam motivos ulteriores maliciosos.

Como caraterizar um trojan

As pessoas às vezes imaginam que um trojan é um vírus ou um worm, mas, na realidade, não é nenhum deles. Um vírus infeta ficheiros, pode autorreplicar-se e espalhar-se, anexando-se a outro programa. Os worms são um tipo de malware parecido com os vírus, mas não precisam de estar anexados a outro programa para se espalharem. A maioria dos vírus são atualmente considerados como antigas ameaças. Os worms também se tornaram raros, embora surjam de vez em quando.

Pense em trojans como um termo genérico para disseminação de malware, porque há vários tipos de trojans. Dependendo da intenção criminosa do programador, um trojan pode ser como um canivete suíço do hacking atuando como um pedaço de malware autónomo ou como ferramenta para outras atividades, como para disseminar payloads futuros, comunicar com o hacker noutro altura ou abrindo o sistema a ataques, tal como o fizeram os soldados gregos a partir do interior da fortaleza de Troia.

Dito de outra forma, um trojan é uma estratégia de disseminação que os hackers utilizam para disseminar qualquer tipo de ameaça, desde ransomware que imediatamente exige dinheiro, até spyware que se esconde enquanto rouba informações valiosas, como dados pessoais e financeiros.

Tenha presente que o adware ou os PUPs (programas potencialmente indesejáveis) podem ser confundidos com trojans visto que o método de disseminação é semelhante. Por exemplo, às vezes, o adware infiltra-se no seu computador como parte dum pacote de software. O utilizador acha que está a descarregar só uma peça de software, mas na verdade são duas ou três. Os autores do programa geralmente incluem o adware por razões de marketing afiliado para que possam monetizar o seu instalador com ofertas geralmente bem identificadas. Tais bundlers de adware são tipicamente menos maliciosos que os trojans. Além disso, não se escondem como os trojans fazem. Mas isto pode causar confusão visto que o vetor de distribuição de adware se assemelha ao de um trojan.

Métodos de infeção por trojans

Os trojans podem se parecer com qualquer coisa, desde software e música gratuitos, a anúncios no browser e apps aparentemente legítimas. Qualquer um dos vários comportamentos insensatos de utilizadores pode levar a uma infeção por trojans. Eis alguns exemplos:

• Descarregar aplicações crackadas. As promessas de uma cópia gratuita ilegal de um software podem ser aliciantes, mas o software crackado ou o gerador de chaves de ativação pode esconder um ataque de trojans.
• Descarregar programas gratuitos desconhecidos. O que parece ser um jogo ou protetor de ecrã gratuito pode na verdade ser um trojan, especialmente se o encontra num site não fidedigno.
• Abrir anexos infetados. Recebe um e-mail estranho com o que parece ser um anexo importante, como uma fatura ou um recibo de entrega, mas lança um trojan quando clica nele.
• Visitar websites duvidosos. Alguns sites precisam apenas dum instante para infetar o seu computador. Outros usam truques como fingirem transmitir um filme popular, mas apenas se descarregar um certo codec de vídeo, que é realmente um trojan.
• Qualquer outra engenharia social que se disfarça tirando partido das mais recentes tendências. Por exemplo, em dezembro de 2017, descobriu-se que uma extensa base instalada de processadores Intel era vulnerável a ataques devido a problemas de hardware. Os hackers aproveitaram o pânico que se seguiu simulando um patch chamado Smoke Loader, que instalou um trojan.

As mais recentes novidades sobre trojans

Trojans: Qual é o problema real?

Análise do malware: descodificar o Emotet, parte 1

Análise do malware: descodificar o Emotet, parte 2

História dos trojans

Diversão e jogos

Um programa chamado ANIMAL, lançado em 1975, é geralmente considerado o primeiro exemplo a nível mundial de um ataque de trojan. Apresentou-se como um jogo simples parecido com o quiz Vinte perguntas. No entanto, nos bastidores, o jogo copiava-se para diretórios partilhados, onde outros utilizadores o poderiam encontrar. A partir dali, o jogo podia espalhar-se por redes inteiras de computadores. Tratou-se, essencialmente, duma partida inofensiva.

Em dezembro de 1989, os ataques de trojans deixaram de ser partidas. Várias milhares de disquetes contendo o trojan AIDS, o primeiro ransomware conhecido, foram enviadas para os assinantes da revista PC Business World e para uma lista de correio da conferência sobre SIDA da Organização Mundial da Saúde. Este trojan DOS ficava inativo por 90 ciclos de arranque, encriptava todos os nomes de ficheiros no sistema e depois exibia um aviso solicitando que o utilizador enviasse 189 USD para uma caixa postal no Panamá, a fim de receber um programa de desencriptação.

Nos anos 1990, outro trojan infame apareceu disfarçado sob a forma dum simples jogo de Whack-A-Mole. O programa escondia uma versão do NetBus, um programa que permite controlar remotamente um sistema de computadores Microsoft Windows através duma rede. Com acesso remoto, o atacante podia fazer várias coisas num computador, até mesmo abrir o tabuleiro do CD.

Amor e dinheiro

Em 2000, um trojan chamado ILOVEYOU tornou-se na altura no ciberataque mais destrutivo da história, com danos estimados em até 8,7 mil milhões USD. Os destinatários receberam um e-mail com o que parecia ser um anexo de texto chamado ILOVEYOU. Se tivessem curiosidade suficiente para abri-lo, o programa lançaria um script que sobrescreveria os ficheiros e se enviaria para todos os endereços de e-mail na lista de contactos do utilizador. Por mais inteligente que o worm fosse dum ponto de vista técnico, o uso da engenharia social foi, sem dúvida, o seu componente mais engenhoso.

Os ataques de trojans continuaram a evoluir ao longo dos anos 2000, assim como as ameaças que transportavam. Em vez de visar a curiosidade das pessoas, os trojans aproveitaram o aumento de downloads ilegais, disfarçando malware como ficheiros de música, filmes ou codecs de vídeo. Em 2002, um trojan de backdoor baseado no Windows chamado Beast surgiu e consegui infetar quase todas as versões do Windows. Então, no final de 2005, outro trojan de backdoor chamado Zlob foi distribuído disfarçado como um codec de vídeo necessário sob a forma de ActiveX.

Os anos 2000 também viram um aumento no número de utilizadores de computadores Mac e os cibercriminosos foram atrás. Em 2006, foi anunciada a descoberta do primeiro malware para Mac OS X, um cavalo de Troia de baixo risco conhecido como OSX/Leap-A ou OSX/Oompa-A.

As motivações por trás dos ataques de trojans também começaram a mudar por essa altura. Muitos ciberataques iniciais foram motivados por um desejo de poder, controlo ou por puro vandalismo. Na década de 2000, um número crescente de ataques foi motivado pela ganância. Em 2007, um trojan chamado Zeus visou a plataforma Microsoft Windows a fim de roubar informações bancárias através dum keylogger. Em 2008, hackers lançaram o Torpig, também conhecido como Sinowal e Mebroot, que desativava as aplicações de antivírus, permitindo que outros acedessem ao computador, modificassem dados e roubassem informações confidenciais, como palavras-passe e outros dados sensíveis.

Maiores e mais implacáveis

À medida que o cibercrime entrava na década de 2010, a ganância continuou, mas os hackers começaram a ficar mais ambiciosos. O aparecimento de criptomoedas não rastreáveis, como o Bitcoin, levou a um aumento nos ataques de ransomware. Em 2013 foi descoberto o cavalo de Troia Cryptolocker. O Cryptolocker encripta os ficheiros no disco rígido do utilizador e exige um pagamento de resgate ao desenvolvedor para receber a chave de desencriptação. Mais tarde, no mesmo ano, também foram descobertas várias cópias do trojan de ransomware.

A década de 2010 também viu uma mudança na forma como as vítimas são atacadas. Embora muitos trojans ainda utilizem uma abordagem geral, tentando infetar o maior número possível de utilizadores, uma abordagem mais direcionada parece estar em ascensão. Muitos dos trojans que conhecemos hoje foram criados para atingir uma empresa, organização ou mesmo um governo específico. Em 2010 foi detetado o Stuxnet, um trojan para as plataformas Windows. Tratou-se do primeiro worm a atacar sistemas de controlo computadorizados, e há indícios de que foi concebido para atacar instalações nucleares iranianas. O trojan Tiny Banker (Tinba) ocupou as manchetes em 2016. Desde sua descoberta, descobriu-se que infetou mais de duas dúzias de grandes instituições bancárias nos Estados Unidos, incluindo TD Bank, Chase, HSBC, Wells Fargo, PNC e Bank of America.

Como uma das formas mais antigas e comuns de disseminar malware, a história dos trojans segue de perto a história do próprio cibercrime. O que começou como uma maneira de pegar uma partida aos amigos transformou-se numa maneira de destruir redes informáticas, roubar informações, fazer dinheiro e tomar o poder. Já vão longe os tempos das partidas. Em vez disso, continuam a ser ferramentas cibercriminosas importantes, utilizadas principalmente para o roubo de dados, a espionagem e os ataques DDoS (ataques distribuídos de negação de serviço).

Tipos de trojans

Os trojans são versáteis e muito populares, o que dificulta a sua caraterização. Dito isto, a maioria dos trojans é criada para assumir o controlo do computador de um utilizador, roubar dados, espiá-lo(s) ou inserir mais malware no computador da vítima. Eis algumas ameaças comuns devidas a ataques de trojans:

• Backdoors, que criam um acesso remoto ao seu sistema. Este tipo de malware altera o seu estado de segurança para permitir que o hacker controle o dispositivo, roube os seus dados e até descarregue mais malware.
• Spyware, que o observa enquanto acede a contas online ou insere os detalhes do seu cartão de crédito. Depois transmitem as suas palavras-passe e outros dados identificativos de volta ao hacker.
• Trojans zombificantes, que tomam o controlo do seu computador para o transformar num escravo numa rede sob o controlo do hacker. Esse é o primeiro passo na criação dum botnet (robot (robô) + network (rede)), que é frequentemente utilizado para executar um ataque distribuído de negação de serviço (DDoS) concebido para derrubar uma rede injetando tráfego.
• Downloader Trojans, que descarregam e implantam outros módulos maliciosos, como ransomware ou keyloggers.
• Dailer Trojans, que podem parecer anacrónicos uma vez que já não utilizamos modems de acesso telefónico. Mas mais sobre isso na próxima seção.

Apps trojanizadas em smartphones Android

Os trojans não são apenas um problema para computadores portáteis e de secretária. Também atacam dispositivos móveis, o que faz sentido, dado o alvo tentador representado pelos mil milhões de telefones em uso.

Como nos computadores, o trojan apresenta-se como um programa legítimo, embora na verdade seja uma versão falsa da app cheia de malware.

Estes trojans escondem-se geralmente em mercados de apps não oficiais e piratas, aliciando os utilizadores a descarregá-los. Os trojans abrangem todas as atividades maliciosas, infetando o telefone com anúncios e keyloggers, que podem roubar informações. Dialer Trojans podem até gerar receita ao enviarem mensagens SMS premium.    

Os utilizadores do Android têm sido vítimas de apps trojanizadas, até mesmo do Google Play, que está constantemente a analisar e a remover apps comprometidas (muitas vezes após a descoberta do trojan). Os extras de extensão de browsers também podem atuar como trojans, uma vez que se trata dum payload capaz de transportar código errado incorporado.

Embora o Google possa remover extras de browsers de computadores, em telefones, os trojans podem colocar ícones transparentes no ecrã. É invisível ao utilizador, mas reage ao toque de um dedo para iniciar o respetivo malware.

Quanto aos utilizadores do iPhone, há boas notícias: as políticas restritivas da Apple em relação ao acesso à App Store, ao iOS e a quaisquer outras apps no telefone fazem um bom trabalho ao impedir incursões de trojans. A única exceção é para aqueles que desbloqueiam os seus telefones na sua demanda para descarregar software gratuito de outros sites que não a App Store. A instalação de apps duvidosas fora das configurações da Apple torna-o vulnerável a trojans.

Como removo um trojan?

Quando um trojan tiver infetado o seu dispositivo, a maneira mais universal de limpá-lo e restaurá-lo para um estado desejado é usar uma ferramenta anti-malware automatizada de boa qualidade e fazer uma verificação completa do sistema.

Existem muitos programas anti-malware gratuitos incluindo os nossos próprios produtos para Windows, Android e Mac que detetam e removem adware e malware. Na verdade, o Malwarebytes deteta todos os trojans conhecidos e muitos mais, já que 80% da deteção de trojans é feita por análise heurística. Até ajudamos a mitigar infeções adicionais cortando a comunicação entre o malware inserido e qualquer servidor de backend, o que isola o trojan. A única exceção refere-se à proteção contra ransomware, para o qual precisa do nosso produto premium.

Como previno trojans?

Como os trojans dependem do descuido dos utilizadores para os deixar entrar no computador, a maioria das infeções é evitável mantendo-se vigilante e seguindo bons hábitos de segurança. Aplique uma dose saudável de ceticismo em relação a websites que oferecem filmes gratuitos ou jogos, optando por fazer o download de programas gratuitos diretamente do site do produtor e não de servidores espelhados não autorizados.

Outra precaução a considerar: altere as configurações predefinidas do Windows para que as extensões reais das aplicações estejam sempre visíveis. Isto evita ser enganado por um ícone de aparência inocente.

Outras boas práticas além de instalar Malwarebytes for Windows, Malwarebytes for Android e Malwarebytes for Mac incluem:

• Executar verificações de diagnóstico periódicas
• Configurar atualizações automáticas do software do seu sistema operativo, garantindo que tenha as atualizações de segurança mais recentes
• Manter as suas aplicações atualizadas, garantindo que quaisquer vulnerabilidades de segurança estão corrigidas
• Evitar sites inseguros ou suspeitos
• Ser cético em relação a anexos não verificados e links em e-mails desconhecidos
• Utilizar palavras-passe complexas
• Permanecer atrás duma firewall

Como o Malwarebytes Premium o protege

Na Malwarebytes, levamos a sério a prevenção de infeções, e é por isso que bloqueamos agressivamente tanto os websites como os anúncios que consideramos fraudulentos ou suspeitos. Por exemplo, bloqueamos sites torrent como The Pirate Bay. Embora muitos utilizadores experientes tenham utilizado tais sites sem problemas, alguns dos ficheiros que oferecem para download são na verdade trojans. Por razões semelhantes, também bloqueamos criptomineração através de browsers, mas o utilizador pode optar por desligar o bloqueio e conectar-se.

O nosso raciocínio é que mais vale pecarmos por excesso do que por defeito. Se quiser assumir o risco, é fácil colocar um site na lista branca, mas até mesmo pessoas experientes podem ser enganadas por um trojan convincente.

Para saber mais sobre trojans, malware e outras ciberameaças, consulte o blogue Malwarebytes Labs. As coisas que aprende podem ajudá-lo a evitar uma infeção no futuro.