PortalADSL - Tudo sobre Banda Larga - Ladrões de senha são vírus mais ativos em abril

Dialers aparecem na terceira posição devido aos numerosos casos do Zonebac, enquanto Bankers e Bots continuam nas primeiras posições com leve queda no número de infecções. Vundo continua crescendo, mas Backdoors têm leve queda e perde posições. MyWebSearch aparece novamente no top 10.

1. 48,2%: Banker

Bankers são vírus brasileiros que roubam senhas de bancos, MSN, Orkut e cartões de crédito. Alguns são também capazes de roubar senhas de provedores como Globo, Terra e UOL. Muitos são espalhados manualmente pelos seus criadores, que enviam e-mails fraudulentos (falsos) para milhares de pessoas que, caso abram a mensagem e o link nela presente, serão infectadas. Outros se espalham automaticamente por meio de mensagens de MSN e recados e depoimentos do Orkut.

Para evitar os Bankers é importante tomar extremo cuidado durante a abertura de links recebidos por meio de mensagens de e-mail, Orkut e MSN. Se você desconfia que está infectado, a ferramentaBankerFix, da Linha Defensiva, poderá lhe ajudar.

O número de infecções de Banker continua caindo desde janeiro, quando atingiu o pico de 52,3%. No mês passado. Bankers representavam 51,6% das infecções.

2. 8,7%: Bot

Bot é um tipo de código malicioso que torna cada computador infectado um “zumbi” a serviço do criador da praga. A rede de computadores infectados por um mesmo bot é chamada de botnet (rede zumbi). Os controladores das Botnets as utilizam para enviar spam, atacar websites e exigir dinheiro de seus donos para parar o ataque, roubar dados dos sistemas infectados, hospedar códigos maliciosos e sites falsos para roubo de senha, entre outros usos.

Botnets podem ser formadas por milhares de máquinas. A maioria dos bots se espalha utilizando falhas no Windows, portanto manter o sistema atualizado é recomendado. Outros bots se espalham por meio de arquivos falsos em redes Peer-to-Peer (P2P).

3. 5,9%: Dialer

Dialers são códigos maliciosos que tentam usar o modem para conexões discadas para acessar números 900 (premium), onde, além de pagar a tarifa da ligação, o consumidor também deve pagar um “serviço” para o dono da linha. Dialers geralmente acessam números 900 que permitem acesso a sites pornográfico

Muitos dos dialers são intrusivos e criam conexões extras na máquina sem a permissão do usuário. Alguns modificam o número a ser discado toda vez que o internauta tentar abrir uma conexão com o provedor. A dificuldade para se remover um dialer varia muito e, na maioria das vezes, ele foi instalado na máquina sem a autorização do internauta. Em outras palavras, os dialers são criados para tentar obrigar o usuário a dar dinheiro para o criador da praga por meio da conta telefônica.

O alto número de dialers deste mês se deve em parte ao Trojan.Zonebac. O Zonebac é um trojan capaz de substituir todos os arquivos iniciados com o sistema com uma cópia de si mesmo. Ele cria uma pasta “bak” na mesma pasta de cada arquivo e insere ali o arquivo verdadeiro original do software que está sendo infectado.

Para remover o Zonebac é necessário remover o arquivo principal da infecção e substituir todos os demais arquivos dos programas iniciados pelo Windows pelas cópias inseridas dentro de pastas “bak”.

4. 4,7%: C2.Lop

C2.Lop é a praga instalada pelo Messenger Plus!. O C2.Lop é capaz de redirecionar o Internet Explorer, instalar ícones na área de trabalho e exibir pop-ups que levam o usuário a outras pragas digitais, como o Vundo. Um sintoma conhecido é o aparecimento de uma barra azul que divulga cassinos e outros sites pouco confiáveis.

A remoção do C2.lop é complicada, pois ele utiliza nomes aleatórios. É possível instalar o Messenger Plus! sem o patrocínio para que o C2.LOP não seja instalado junto e também é possível desinstalar apenas o patrocínio do Messenger Plus! (que é o C2.LOP). No tópico do fórum sobre a praga você encontra um link para uma ferramenta de remoção, mas ela nem sempre funciona. Você pode usar o fórum caso ainda tenha problemas.

Com um número um pouco maior de infecções do que no mês passado e a redução no número de infecções de Backdoors, o C2.Lop só não conseguiu a terceira posição devido aos numerosos casos do Zonebac.

5. 3,7%: Vundo

O Vundo é uma praga semelhante ao Wareout e ao Smitfraud. Ao invés de instalar um software de segurança falso imediatamente, ele cria pop-ups e mensagens de alerta no computador até que o usuário autorize a instalação do programa de segurança.

O Vundo (também conhecido como Virtumonde) geralmente instala programas da WinSoftware, tais como o WinAntivirus e WinFixer. A WinSoftware é conhecida por práticas publicitárias enganosas, como no caso do vírus Backtera.

Remover o Vundo é uma tarefa complexa. O programa VundoFix pode ajudar, mas algumas das versões mais novas do Vundo conseguem se esconder no sistema e ainda não são detectadas pelo VundoFix.

É a terceira vez que o Vundo aparece no Top10. No mês passado, ele tinha 3,3% das infecções. Como o C2.Lop, ele teria subido uma posição se os Dialers não tivessem sido numerosos.

6. 3,4%: Backdoor

Backdoors ou RATs (Remote Administration Tools) são ferramentas de administração remota instaladas por diversos cavalos de tróia. Elas permitem que um cracker controle o computador remotamente, sem a necessidade de explorar qualquer vulnerabilidade no sistema caso o usuário execute o cavalo de tróia que instala um RAT.

Nessa classe estão os mais diversos programas de administração remota instalados por pragas maliciosas, incluindo programas que, caso não tivessem sido instalados sem o consentimento do usuário, seriam perfeitamente aceitáveis, tais como o ServU (servidor de FTP) e o Radmin.

Apesar da leve redução, o número de infecções de Backdoor continua estável. Com o crescimento no número das infecções de Dialers, do C2.Lop e do Vundo, no entanto, esta categoria acabou perdendo a terceira posição, onde se encontrava no mês passado.

7. 2,2%: Adware Genérico

Representa diversos adwares “genéricos” que exibem pop-ups e propagandas. São formados por adwares que não possuem uma “marca” ou são pouco conhecidos.

A remoção deles é geralmente bem simples, bastando remover uma ou duas entradas no HijackThis e apagar o arquivo responsável usando o KillBox. O mais comum desses adwares é o trojan AdClicker, que se instala com o arquivo vbsys2.dll e exibe, em sua maioria, anúncios pornográficos.

Com o aumento da pressão sob os adwares mais conhecidos, os adwares genéricos — que são instalados ilegalmente sem qualquer punição — se tornaram mais viáveis para donos de botnet que querem ganhar dinheiro instalando adwares nos computadores que infectam.

O número de infecções foi levemente maior do que no mês passado, quando eram apenas 2% das infecções.

8. 2,1%: Wareout

Wareout é uma praga semelhante ao Smitfraud. Ele instala aplicativos de segurança que não funcionam de forma correta. Apesar do objetivo ser o mesmo (convencer o usuário a gastar dinheiro com um software que não funciona), o Wareout opera de modo diferente no sistema, portanto sua remoção é complicada. O anti-spyware Wareout hoje é pouco comum. Outras variantes mais novas como o UnSpyPC é que são responsáveis pelos casos atuais de Wareout.

O FixWareout é útil para remover infecções de Wareout.

O número de infecções do Wareout subiu de forma significativa. Em março, representava apenas 1,4% das infecções e habitava a última posição do top 10.

9. 2,0%: Smitfraud

Smitfraud é um conjunto de infecções que instala no computador afetado um anti-spyware fraudulento que tenta remover a própria infecção que o instalou. Em outras palavras, os criadores do Smitfraud vendem a solução para o problema que eles mesmos criaram. Esses anti-spywares são geralmente caros e ruins — muitas vezes detectam pragas que nem sequer existem no sistema e deixam passar casos reais de infecção.

A Linha Defensiva disponibiliza um tutorial para remover a versão SpyAxe do Smitfraud. O tutorial também serve para remover outras infecções mais novas do mesmo gênero. Se você está recebendo mensagens partindo da bandeja do relógio com o título “Your computer is infected”, tente seguir o tutorial do Smitfraud para resolver o problema.

Apesar da leve alta em relação à março, quanto teve apenas 1,7% das infecções, o Smitfraud não conseguiu subir nenhuma posição.

10. 1,8%: MyWebSearch

MyWebSearch/MyBar é um adware geralmente instalado por programas da FunWebProducts. O objetivo deles é direcionar tráfego para o portal MyWay.com (daí o seu nome). Tanto o portal MyWay como a Fun Web Products pertencem à IAC Search & Media, que também gerencia o portal de buscas Ask.com.

Os produtos da FunWebProducts são muito divulgados na web por meio de banners que prometem “novos emoticons” e cursores animados (que levam o internauta aos programas Smiley Central e Cursor Mania, respectivamente).

Apesar de não ser um software malicioso, muitos usuários não sabem que o MyWay foi instalado no PC por estes programas e, em alguns casos, estes programas podem causar problemas com o navegador, visto que são instalados como plug-ins.

Em fevereiro, o MyWay/MyWebSearch apareceu no top 10 com os mesmos 1,8%, mas não conseguiu uma posição em março.

Sistemas Operacionais

A tabela abaixo é baseada apenas nos logs que possuíam pelo menos uma infecção.

Nota importante: O número não representa quais os sistemas que são mais vulneráveis. Instalar o Windows 98 não lhe tornará mais seguro do que o Windows XP SP2. A lista é diretamente afetada pelo número de usuários que utilizam o sistema em questão, o que significa que o Windows XP geralmente estará com a maioria das infecções.

Windows XP SP2	85,7%
Windows XP SP1	6%
Windows XP Gold (Sem SP)	4,5%
Windows 98/98SE	1,7%
Windows 2000 SP3/SP4	1,3%
Windows ME	0,2%
Windows 2003	0,2%
Windows 2000 Gold (sem SP)	0,2%
Windows Vista	0,2%

Fonte: Linha Defensiva