Como funcionam as análises antivírus: o que veem e onde param

O telemóvel aquece no bolso, a bateria não chega à noite e perguntas-te se haverá lá dentro alguma coisa que não devia estar. A tentação é instalar a primeira aplicação que promete limpar tudo. Antes disso, convém saber como funcionam as análises antivírus: o telemóvel já tem várias ferramentas para responder a essa pergunta, e cada uma vê uma parte diferente do quadro.

Perceber o funcionamento destas análises ajuda a ler os resultados sem ansiedade: um «nenhuma ameaça encontrada» não é uma garantia absoluta, e um alerta nem sempre é uma catástrofe. O software malicioso (malware) é um programa concebido para danificar o dispositivo ou roubar dados, quase sempre às escondidas; as ferramentas que o procuram trabalham com indícios, não com certezas.

Este artigo passa em revista essas ferramentas, com vantagens e limites reais, sem indicar produtos. É o complemento tecnológico da recomendação de reconhecer software malicioso no telemóvel: as ferramentas observam, mas os sinais do dia a dia és tu quem os nota primeiro.

Nota de variante: este texto está em português europeu. Onde se lê telemóvel, no Brasil diz-se celular; aplicação é aplicativo, definições são configurações e cópia de segurança é backup.

Como ler esta lista

As tecnologias estão organizadas em quatro funções, as mesmas usadas no artigo sobre o que fazer com software malicioso no telemóvel:

• prevenção — impedir que uma aplicação nociva se instale ou continue ativa;
• deteção — dar por alguma coisa que, no telemóvel, se comporta de forma anómala;
• resposta — isolar o problema e devolver o telemóvel a um estado limpo;
• governação — os hábitos que mantêm o sistema em ordem ao longo do tempo, também em família ou no trabalho.

Para cada uma encontras o risco que reduz, as vantagens, os limites honestos e a complexidade de utilização. Nenhuma, sozinha, diz com certeza que o telemóvel está limpo.

1. Tecnologias de prevenção

Proteção integrada do sistema

O serviço de segurança incluído no sistema operativo do telemóvel, ativo por predefinição na maior parte dos dispositivos. Verifica as aplicações quando as instalas e volta a verificá-las periodicamente. A verificação no momento da instalação está descrita no artigo sobre a proteção contra aplicações maliciosas; aqui interessa o que acontece depois.

• Risco reduzido: aplicações nocivas já presentes no telemóvel, mesmo as que chegaram de fora da loja oficial.
• Vantagens: trabalha em segundo plano, sem que tenhas de a lançar; conhece o sistema por dentro, por isso vê coisas que uma aplicação externa não vê; quando encontra algo, pode desativar a aplicação ou propor-te que a removas.
• Limites: é mais eficaz contra ameaças conhecidas do que contra as novas; se a desativares para instalar uma aplicação que ela estava a bloquear, deixa de te proteger precisamente quando é precisa.
• Complexidade: nenhuma para ti, se a deixares ativa.

Assinaturas do software malicioso conhecido

O método mais antigo e mais difundido. Uma assinatura é uma espécie de impressão digital de um software malicioso já estudado: um conjunto de características que o identifica. A análise compara cada aplicação com uma enorme lista dessas impressões.

• Risco reduzido: software malicioso já identificado e catalogado, que continua a circular em cópias idênticas ou quase.
• Vantagens: é preciso, rápido e dá poucos falsos alarmes.
• Limites: só reconhece o que alguém já viu; uma versão modificada do software malicioso pode escapar enquanto a lista não for atualizada.
• Complexidade: nenhuma para ti.

Atualizações do sistema e das definições de ameaças

As listas de assinaturas, as regras de análise e as correções do sistema chegam com as atualizações. Uma ferramenta de análise vale o que vale a sua última versão.

• Risco reduzido: software malicioso que explora falhas já corrigidas e ameaças que a proteção ainda não conhece.
• Vantagens: quando se segue a recomendação de manter o software atualizado, a proteção melhora sozinha enquanto fazes outras coisas.
• Limites: um telemóvel que deixou de receber atualizações fica exposto às falhas novas; a entrada de glossário sobre o sistema operativo explica porque é que o fim do suporte pesa tanto.
• Complexidade: básica.

2. Tecnologias de deteção

Análise do comportamento

Em vez de perguntar «esta aplicação parece-se com um software malicioso conhecido?», a análise do comportamento pergunta «esta aplicação comporta-se como um software malicioso?». Observa o que a aplicação faz: se arranca às escondidas, se esconde o próprio ícone, se pede permissões desproporcionadas, se envia dados sem parar para endereços invulgares. É a lógica do chamado antivírus de nova geração.

• Risco reduzido: software malicioso novo ou modificado, que nenhuma assinatura conhece ainda.
• Vantagens: pode dar por ameaças nunca vistas; completa as assinaturas, que olham para trás, observando o que está a acontecer agora.
• Limites: trabalha com probabilidades, por isso às vezes assinala aplicações legítimas que fazem coisas invulgares; um software malicioso prudente, que só se ativa de vez em quando, pode passar despercebido.
• Exemplo de uso: uma aplicação de lanterna instalada ontem pede acesso às notificações e trabalha em segundo plano a noite inteira; o sistema assinala-a como suspeita.
• Complexidade: nenhuma para ti; só é preciso ler o alerta com calma.

Estatísticas da bateria por aplicação

A secção das definições que mostra quanta bateria gastou cada aplicação, muitas vezes separando o uso com o ecrã ligado do uso em segundo plano, isto é, quando a aplicação trabalha sem que a estejas a usar.

• Risco reduzido: aplicações que trabalham às escondidas e continuam ativas quando o telemóvel parece em repouso.
• Vantagens: é um dado produzido pelo próprio sistema, não por uma aplicação de terceiros; permite comparar o que vês com o que esperas. Como ler os consumos anómalos está explicado no artigo sobre quando a bateria descarrega depressa demais.
• Limites: não diz porque é que uma aplicação gasta; um software malicioso pode usar um nome parecido com o de um componente do sistema; uma bateria envelhecida reduz a autonomia sem culpa de nenhuma aplicação.
• Exemplo de uso: um jogo que não abres há dias está entre os primeiros consumos, quase tudo em segundo plano. É um indício a aprofundar, não uma prova.
• Complexidade: básica.

Utilização por aplicação: dados, memória e armazenamento

O sistema conta também quantos dados usa cada aplicação, quanta memória ocupa e quanto espaço enche. Para os dados há uma recomendação própria, sobre como vigiar o consumo de dados; aqui basta saber que as estatísticas se leem melhor em conjunto.

• Risco reduzido: aplicações que transmitem informação ou usam recursos sem razão ligada à função que têm.
• Vantagens: cruzar várias estatísticas reduz as falsas suspeitas: uma aplicação que gasta bateria e dados em segundo plano, sem que a uses, merece mais atenção do que uma que faz só uma das duas coisas.
• Limites: as entradas mudam de nome e de lugar de um telemóvel para outro; aplicações legítimas, como as de cópia de segurança ou de navegação, gastam muito por natureza.
• Complexidade: básica.

Análise com uma aplicação de segurança de fonte oficial

Aplicações dedicadas que fazem análises a pedido ou programadas, usando também assinaturas e análise do comportamento. Instalam-se só a partir da loja oficial e de entidades reconhecíveis.

• Risco reduzido: software malicioso que escapou aos outros controlos, sobretudo nos telemóveis que já não recebem atualizações do sistema.
• Vantagens: dão uma segunda opinião; algumas acrescentam a verificação das ligações.
• Limites: no telemóvel, cada aplicação vive num espaço isolado, por isso uma aplicação de segurança vê menos do que veria num computador; algumas mostram alarmes exagerados para levar a pagar. Há também imitações que são, elas próprias, o problema. Uma aplicação chega: várias ao mesmo tempo não somam proteção, muitas vezes somam só consumos.
• Complexidade: básica.

3. Tecnologias de resposta

Modo de segurança

Em muitos telemóveis existe um arranque que carrega só o sistema e as aplicações pré-instaladas, deixando paradas as que acrescentaste. Chama-se modo de segurança, e ativa-se de forma diferente de modelo para modelo.

• Risco reduzido: aplicações nocivas que se reiniciam sozinhas ou que impedem a própria remoção enquanto estão ativas.
• Vantagens: é uma experiência simples: se em modo de segurança o telemóvel volta a ser rápido e a bateria dura, a causa é muito provavelmente uma aplicação instalada; e nesse modo a aplicação suspeita deixa-se desinstalar, em muitos casos, com mais facilidade.
• Limites: nem todos os sistemas o oferecem; não diz qual é a aplicação responsável, e tem de ser combinado com as estatísticas.
• Exemplo de uso: em modo de segurança, a publicidade em ecrã inteiro que aparecia fora das aplicações desaparece: o problema está numa aplicação instalada recentemente.
• Complexidade: intermédia.

Remoção da aplicação e retirada das permissões especiais

A desinstalação da aplicação suspeita, precedida da retirada das permissões mais delicadas: acesso às notificações, acessibilidade, administração do dispositivo. Esta última é uma permissão especial que, se for dada a uma aplicação nociva, pode impedir a remoção enquanto não for retirada.

• Risco reduzido: aplicações que continuam a ler dados, notificações e códigos de verificação.
• Vantagens: resolve boa parte dos casos comuns; como reconhecer as aplicações a retirar explica-o a recomendação sobre como remover aplicações desconhecidas do telemóvel.
• Limites: se a aplicação já leu palavras-passe ou códigos, removê-la não chega: as credenciais têm de ser mudadas, de preferência a partir de outro dispositivo.
• Complexidade: básica.

Reposição das definições de fábrica

A operação que apaga todos os dados, aplicações e definições, devolvendo o telemóvel ao estado em que saiu da fábrica.

• Risco reduzido: infeções que resistem aos outros remédios.
• Vantagens: é o remédio mais radical ao alcance de qualquer pessoa, eficaz contra a grande maioria das infeções comuns; no fim tens um telemóvel de que sabes o conteúdo.
• Limites: sem cópia de segurança perdes fotografias e documentos; recuperando a cópia em bloco arriscas-te a reinstalar a mesma aplicação; não repara as contas já comprometidas. É a última opção, não a primeira.
• Exemplo de uso: depois da remoção da aplicação suspeita, os sintomas continuam; guardas fotografias e contactos, fazes a reposição e reinstalas a partir da loja oficial só as aplicações que usas mesmo.
• Complexidade: intermédia.

4. Tecnologias de governação

São o que torna as outras tecnologias eficazes ao longo do tempo, sobretudo quando há mais do que um telemóvel a acompanhar.

Cópias de segurança regulares

Cópias periódicas de fotografias, contactos e documentos, num serviço de armazenamento ou noutro dispositivo.

• Risco reduzido: ter de renunciar à reposição de fábrica por medo de perder tudo.
• Vantagens: transforma a última opção numa escolha tranquila; é útil também em caso de roubo ou avaria.
• Limites: uma cópia que inclua as aplicações, além dos dados, pode trazer o problema de volta.
• Complexidade: básica.

Gestão dos telemóveis em família e no trabalho

O controlo parental nos telemóveis dos filhos e, nas organizações, a gestão centralizada dos dispositivos: um sistema que aplica as mesmas regras de segurança a todos os telemóveis de trabalho.

• Risco reduzido: proteções desativadas por engano e instalações feitas sem pensar.
• Vantagens: mantém as proteções ativas mesmo nos telemóveis de pessoas menos experientes; permite intervir depressa num dispositivo comprometido.
• Limites: tem de ser explicada, não imposta; nos telemóveis de trabalho, tem de respeitar a esfera pessoal de quem os usa.
• Complexidade: intermédia.

Tabela comparativa

Como funcionam as análises antivírus no dia a dia: o que escolher

Se o telemóvel é só teu. Deixa ativa a proteção integrada, aceita as atualizações e olha para as estatísticas de bateria e de dados uma vez por mês: quem conhece os consumos normais reconhece logo os anómalos. Se alguma coisa não bate certo, o modo de segurança diz-te se a causa é uma aplicação. Uma aplicação de segurança adicional faz sentido sobretudo se o telemóvel já não recebe atualizações.

Se tens família. Confirma que a proteção integrada está ativa também nos telemóveis dos filhos e dos pais, e configura uma cópia de segurança automática para todos. Explica que um aviso de «vírus» que aparece durante a navegação e pede para instalar alguma coisa é quase sempre um engano; a entrada de glossário sobre o antivírus ajuda a distinguir o verdadeiro do falso.

Se usas o telemóvel no trabalho, ou geres uma pequena organização. Acrescenta a gestão centralizada dos dispositivos e um procedimento combinado para quem nota um comportamento estranho: quem avisar, como isolar o telemóvel, quem muda as credenciais.

Uma regra prática. As análises reduzem muito o risco, mas nenhuma vê tudo: as assinaturas não conhecem o novo, a análise do comportamento às vezes erra, as aplicações externas veem menos do que o sistema. A combinação que dá melhor resultado para o esforço é proteção integrada ativa + atualizações + um olhar mensal às estatísticas: a tecnologia procura o conhecido, e o teu conhecimento do telemóvel nota o que está fora do sítio.

O que um resultado quer dizer

Vale a pena ler os resultados de uma análise pelo que são. «Nenhuma ameaça encontrada» quer dizer que nada do que a ferramenta conhece, ou do que considera suspeito, apareceu naquele momento — o que já é bastante, mas não é tudo. Um alerta sobre uma aplicação que instalaste de propósito e conheces bem pode ser um falso alarme, e merece uma verificação antes de qualquer decisão. Um alerta sobre algo que não reconheces, pelo contrário, deve ser levado a sério. Em qualquer dos casos, o resultado ganha peso quando bate certo com o que notaste no uso: uma análise limpa num telemóvel que continua a aquecer em repouso é um motivo para continuar a verificar, não para parar.

Ligação ao Framework Cyber Welfare

Este artigo pertence ao nível em que se usam as ferramentas do próprio dispositivo sem guia passo a passo, sabendo interpretar o que mostram e quando pedir ajuda.

Níveis de maturidade digital.

• FL1 – Básico. Vês a proteção do telemóvel como uma caixa fechada: está lá, mas não sabes o que faz.
• FL2 – Inicial. Sabes que existe uma proteção integrada e onde se veem as estatísticas de bateria e de dados.
• FL3 – Autónomo. Usas as ferramentas do dispositivo sem guia, interpretando os resultados e sabendo quando pedir ajuda: é o nível de referência deste artigo.
• FL4 – Hábil. Combinas assinaturas, comportamento, estatísticas e modo de segurança, e conheces os limites de cada um.
• FL5 – Especialista-Guia. Ajudas famílias e pequenas equipas a escolher e a manter estas proteções, sem prometer o que nenhuma ferramenta pode dar.

Conclusão

Nenhuma análise antivírus é infalível, e nenhuma precisa de o ser: as assinaturas reconhecem o conhecido, a análise do comportamento observa o presente, as estatísticas mostram o que o olho não vê, e o modo de segurança e a reposição de fábrica oferecem uma saída. Saber como funcionam as análises antivírus tira espaço ao medo e devolve-o às decisões.

Lista breve

• ☐ A proteção integrada do telemóvel está ativa
• ☐ O telemóvel recebe e instala as atualizações
• ☐ Sei onde ver as estatísticas de bateria e de dados por aplicação
• ☐ Sei como se arranca o meu telemóvel em modo de segurança
• ☐ Tenho uma cópia de segurança recente dos dados, sem depender dela para as aplicações

Para fechar. Confirma nas definições que a proteção integrada está ativa e olha para as estatísticas da bateria dos últimos dias. Anota as três aplicações que mais gastam: serão a tua referência para a próxima verificação. Para perceber quão sólidos são os teus hábitos digitais no conjunto, podes começar pela Autoavaliação de Resiliência Digital.

Conteúdos relacionados

• reconhecer software malicioso no telemóvel — a recomendação que estas ferramentas apoiam

• o que fazer com software malicioso no telemóvel — como pôr estas tecnologias em prática, por ordem
• software malicioso escondido nas aplicações — as ameaças que as análises procuram
• a bateria descarrega depressa demais — os sinais a ler nas estatísticas do telemóvel

Recursos relacionados

Três entradas do glossário que completam este artigo:

• antivírus — o que faz uma ferramenta de análise e porque é que os falsos avisos a imitam
• antivírus de nova geração — a passagem das assinaturas à observação do comportamento
• sistema operativo — onde vive a proteção integrada e porque depende das atualizações

Dá o primeiro passo: o Programa «Protege a Tua Privacidade Digital» acompanha-te gratuitamente, uma recomendação de cada vez.