Um comportamento frequentemente observado em vírus de outros países agora também é característico dos códigos maliciosos nacionais. O ARIS-LD, grupo de análise de vírus da Linha Defensiva, detectou um ladrão de senhas bancárias brasileiro que tenta eliminar outros vírus quer roubam senhas de banco, com o intuito de garantir que os dados capturados não sejam também enviados e usados por outros criminosos “concorrentes”.

A remoção dos vírus concorrentes ocorre juntamente com a tentativa de desativar softwares de segurança, como os plugins instalados pelos bancos. No caso de dois ladrões de senha mantidos por grupos criminosos distintos roubarem a mesma informação, o que demorar mais para utilizá-la encontrará uma conta bancária já vazia.

ARIS-LD/Reproduçãobriga

Na tela estão marcados os arquivos pertencentes a outras pragas digitais

Esse comportamento é comum em várias outras pragas digitais. A Linha Defensiva noticiou em 2006 casos em que códigos maliciosos chegaram a instalar os antivírus Kaspersky e Dr. Web para garantir que a única infecção presente no computador era a do próprio vírus. Para não serem removidas pelos antivírus, as pragas adicionavam-se na lista de “arquivos ignorados” dos programas.

É a primeira vez, no entanto, que esse comportamento é observado em vírus de origem brasileira, normalmente destinados ao roubo de senhas bancárias.

Só para brasileiros

O vírus “anticompetitivo” analisado pelo ARIS-LD tem como alvo exclusivamente os brasileiros. O link de download da praga determina a nacionalidade da vítima pelo endereço IP — um processo normalmente chamado de GeoIP. Se o internauta não for brasileiro, é exibida uma foto inofensiva com garotas de biquíni.

O ARIS-LD tem um colaborador brasileiro que reside na Bulgária. A técnica dos criminosos foi descoberta quando este colaborador não conseguiu baixar os vírus presentes nos links enviados por internautas.

O principal objetivo dessa restrição é precisamente dificultar a análise da praga digital. Pesquisadores antivírus que residem em outros países precisarão usar um computador brasileiro como intermediário para conseguir baixar e analisar o vírus. Se a nacionalidade da praga não puder ser determinada pelo golpe, ou se o pesquisador não reconhecer imediatamente o uso de GeoIP, o vírus poderá continuar agindo livremente, já que o especialista não irá desconfiar da presença de um código malicioso.

Anúncios

Escrito por Altieres Rohr

Jornalista e tradutor. Editor dos sites Linha Defensiva e Garagem 42 e colunista de Segurança Digital no portal G1 da Rede Globo.

1 comentário

  1. Bom pelo menos esses vírus tiram os outros vírus.. hehe Se vários vírus começarem a se atacar mutuamente vai diminuir o número de pragas. Acredito que essa competitividade de uma certa forma é boa.

    Curtir

    Responder

Deixe um comentário

Preencha os seus dados abaixo ou clique em um ícone para log in:

Logotipo do WordPress.com

Você está comentando utilizando sua conta WordPress.com. Sair /  Alterar )

Foto do Google+

Você está comentando utilizando sua conta Google+. Sair /  Alterar )

Imagem do Twitter

Você está comentando utilizando sua conta Twitter. Sair /  Alterar )

Foto do Facebook

Você está comentando utilizando sua conta Facebook. Sair /  Alterar )

w

Conectando a %s