Malware
# Malware

Malware (uma junção de software malicioso, em inglês) é qualquer software projetado intencionalmente para causar interrupção em um computador, servidor, cliente ou rede de computadores, vazar informações privadas, obter acesso sem autorização a informações ou sistemas, privar o acesso a informações ou que, sem saber, interfira na privacidade e segurança do computador do usuário. Os pesquisadores tendem a classificar o malware em um ou mais subtipos (ou seja, vírus de computador, worms, cavalos de Troia, bombas lógicas, ransomware, spyware, adware, software desonesto, limpadores e registradores de teclado).
O malware representa sérios problemas para indivíduos e empresas na Internet. De acordo com o Relatório de Ameaças à Segurança da Internet (ISTR) de 2018 da Symantec, o número de variantes de malware aumentou para 669.947.865 em 2017, o que é o dobro de variantes de malware em 2016. O crime cibernético, que inclui ataques de malware, bem como outros crimes cometidos por computador, foi previsto para custar à economia mundial US$ 6 trilhões em 2021 e está aumentando a uma taxa de 15% ao ano. Desde 2021, tem sido projetado malware para atingir sistemas de computador que executam infraestrutura crítica, como as redes de distribuição de eletricidade.
As estratégias de defesa contra malware diferem de acordo com o tipo de malware, mas a maioria pode ser frustrada instalando software antivírus, firewalls, aplicando correções regulares, protegendo as redes contra intrusões, tendo cópias de segurança regulares e isolando sistemas infectados. O malware pode ser projetado para escapar dos algoritmos de detecção de software antivírus.

## História

A noção de um programa de computador auto-reprodutor pode ser rastreada até as teorias iniciais sobre a operação de autômatos complexos. John von Neumann mostrou que, em teoria, um programa poderia se reproduzir. Isso constituiu um resultado plausível na teoria da computabilidade. Fred Cohen fez experiências com vírus de computador e confirmou o postulado de Neumann e investigou outras propriedades de malwares, como detectabilidade e auto-ofuscação usando criptografia rudimentar. Sua dissertação de doutorado de 1987 foi sobre o assunto de vírus de computador. A combinação de tecnologia criptográfica como parte da carga útil dos vírus, explorando-os para fins de ataque, foi inicializada e investigada a partir de meados da década de 1990 e inclui ideias iniciais de ransomware e evasão.
Antes que o acesso à Internet se generalizasse, os vírus se espalhavam em computadores pessoais infectando programas executáveis ou setores de inicialização de disquetes. Ao inserir uma cópia de si mesmo nas instruções de código de máquina nesses programas ou setores de inicialização, um vírus faz com que ele seja executado sempre que o programa é executado ou o disco é inicializado. Os primeiros vírus de computador foram escritos para Apple II e Mac, mas se tornaram mais difundidos com o domínio do IBM PC e do MS-DOS. O primeiro vírus de IBM PC em liberdade foi um vírus de setor de inicialização apelidado de (c)Brain, criado em 1986 pelos irmãos Farooq Alvi no Paquistão. Os distribuidores de malware enganavam os usuários para inicializarem ou executarem a partir de dispositivos ou meios infectados. Por exemplo, um vírus poderia fazer um computador infectado adicionar código auto-executável a qualquer pendrive conectado a ele. Qualquer um que então conectasse o pendrive a outro computador configurado para execução automática a partir de USB, por sua vez, seria infectado e também passaria a infecção da mesma forma.
Os softwares de e-mail mais antigos abriam automaticamente e-mails em HTML contendo código JavaScript potencialmente malicioso. Os usuários também podem executar anexos de e-mails maliciosos disfarçados. O Relatório de Investigações de Violação de Dados de 2018 da Verizon, citado pela CSO Online, afirma que os e-mails são o principal método de entrega de malware, respondendo por 96% das entregas de malware em todo o mundo.
Os primeiros worms, programas infecciosos transmitidos através das redes, não se originaram em computadores pessoais, mas em sistemas Unix multitarefas. O primeiro worm bem conhecido foi o Morris worm de 1988, que infectou os sistemas SunOS e VAX BSD. Ao contrário de um vírus, esse worm não se inseriu em outros programas. Em vez disso, ele explorou falhas de segurança (vulnerabilidades) em programas de servidores de redes e começou a ser executado como processos separados. Esse mesmo comportamento é usado pelos worms de hoje também.
Com a ascensão da plataforma Microsoft Windows na década de 1990, e as macros flexíveis de seus aplicativos, tornou-se possível escrever código infeccioso na linguagem de macro do Microsoft Word e programas semelhantes. Esses vírus de macro infectam documentos e modelos em vez de aplicativos (executáveis), mas dependem do fato de que as macros em um documento do Word são uma forma de código executável.
Muitos dos primeiros programas infecciosos, incluindo o Morris worm, o primeiro worm da Internet, foram escritos como experimentos ou brincadeiras. Hoje, malware é usado tanto por hackers black hat quanto por governos para roubar informações pessoais, financeiras ou comerciais. Hoje, qualquer dispositivo que se conecte a uma porta USB – até mesmo luzes, ventiladores, alto-falantes, brinquedos ou periféricos, como um microscópio digital – pode ser usado para espalhar malware. Os dispositivos podem ser infectados durante a produção ou o fornecimento se o controle de qualidade for inadequado.

## Propósitos

Desde o surgimento do acesso generalizado à Internet de banda larga, o software malicioso tem sido mais frequentemente projetado para lucro. Desde 2003, a maioria dos vírus e worms generalizados foram projetados para assumir o controle dos computadores dos usuários para fins ilícitos. "Computadores zumbis" infectados podem ser usados para enviar spam por e-mail, hospedar dados de contrabando, como pornografia infantil, ou se envolver em ataques de negação de serviço distribuídos como uma forma de extorsão. O malware é usado amplamente contra sites governamentais ou corporativos para coletar informações confidenciais, ou para interromper sua operação em geral. Além disso, o malware pode ser usado contra indivíduos para obter informações como números ou detalhes de identificação pessoal, números de bancos ou cartões de crédito e senhas.
Além de ganhar dinheiro com crimes, malware pode ser usado para sabotagem, geralmente por motivos políticos. O Stuxnet, por exemplo, foi projetado para interromper equipamentos industriais muito específicos. Houve ataques com motivação política que se espalharam e desligaram grandes redes de computadores, incluindo exclusão massiva de arquivos e corrupção de registros mestres de inicialização, descritos como "matar computadores". Tais ataques foram feitos na Sony Pictures Entertainment (25 de novembro de 2014, usando malware conhecido como Shamoon ou W32.Disttrack) e na Saudi Aramco (agosto de 2012).

## Tipos

O malware pode ser classificado de várias maneiras, e certos programas maliciosos podem se enquadrar em duas ou mais categorias simultaneamente. Em termos gerais, o software pode ser categorizado em três tipos: (i) goodware; (ii) greyware e (iii) malware.
Classificação de software potencialmente malicioso Dados obtidos de: Molina-Coronado et al. (2023) :
| Tipo | Características | Exemplos |
| Goodware | Obtido de fonte confiável | Aplicativos do Google Play Software com bugs |
| Greyware | Consenso e/ou métricas insuficientes | Programas potencialmente indesejados Spyware Adware |
| Malware | Há amplo consenso entre os softwares antivírus de que o programa é malicioso ou obtido de fontes sinalizadas. | Vírus Worms Rootkits Backdoors Ransomware Cavalos de Tróia |

### Malware
#### Vírus

Um vírus de computador é um software geralmente escondido dentro de outro programa aparentemente inócuo que pode produzir cópias de si mesmo e inseri-las em outros programas ou arquivos, e que geralmente executa uma ação prejudicial (como destruir dados). Eles foram comparados a vírus biológicos. Um exemplo disso é uma infecção de execução portátil, uma técnica, geralmente usada para espalhar malware, que insere dados ou códigos executáveis extras em arquivos PE. Um vírus de computador é um software que se incorpora em algum outro software executável (incluindo o próprio sistema operacional) no sistema alvo sem o conhecimento e o consentimento do usuário e, quando é executado, o vírus se espalha para outros arquivos executáveis.

#### Worms

Um worm é um software malware autônomo que se transmite ativamente por uma rede para infectar outros computadores e pode se copiar sem infectar arquivos. Essas definições levam à observação de que um vírus requer que o usuário execute um software ou sistema operacional infectado para que o vírus se espalhe, enquanto um worm se espalha sozinho.

#### Rootkits

Uma vez que o software malicioso é instalado em um sistema, é essencial que ele permaneça oculto, para evitar a detecção. Pacotes de software conhecidos como rootkits permitem essa ocultação, modificando o sistema operacional do host para que o malware fique oculto do usuário. Os rootkits podem impedir que um processo prejudicial fique visível na lista de processos do sistema ou impedir que seus arquivos sejam lidos.
Alguns tipos de software prejudicial contêm rotinas para evitar tentativas de identificação e/ou remoção, não apenas para se esconder. Um exemplo antigo desse comportamento é registrado no conto Jargon File de um par de programas infestando um sistema de compartilhamento de tempo Xerox CP-V:

#### Backdoors

Um backdoor é um termo amplo para um programa de computador que permite a um invasor acesso remoto que não é autorizado persistente à máquina de uma vítima, muitas vezes sem seu conhecimento. O invasor normalmente usa outro ataque (como um trojan, worm ou vírus) para contornar mecanismos de autenticação, geralmente em uma rede não segura, como a Internet, para instalar o aplicativo backdoor. Um backdoor também pode ser um efeito colateral de um bug de software em software legítimo que é explorado por um invasor para obter acesso ao computador ou rede de uma vítima.
A ideia tem sido frequentemente sugerida de que os fabricantes de computadores pré-instalam backdoors em seus sistemas para fornecer suporte técnico aos clientes, mas isso nunca foi verificado de forma confiável. Foi relatado em 2014 que agências do governo dos EUA estavam desviando computadores comprados por aqueles considerados "alvos" para oficinas secretas onde software ou hardware permitindo acesso remoto pela agência foi instalado, considerado uma das operações mais produtivas para obter acesso a redes ao redor do mundo. Backdoors podem ser instalados por cavalos de Troia, worms, implantes ou outros métodos.

#### Cavalos de Tróia

Um cavalo de Troia se apresenta falsamente para se disfarçar como um programa ou utilitário regular e benigno, a fim de persuadir uma vítima a instalá-lo. Um cavalo de Troia geralmente carrega uma função destrutiva oculta que é ativada quando o aplicativo é iniciado. O termo é derivado da história grega antiga do cavalo de Troia usado para invadir a cidade de Troia furtivamente.
Cavalos de Troia são geralmente espalhados por alguma forma de engenharia social, por exemplo, onde um usuário é enganado para executar um anexo de e-mail disfarçado de não suspeito (por exemplo, um formulário de rotina a ser preenchido) ou por "drive-by download". Embora sua carga útil possa ser qualquer coisa, muitas formas modernas agem como um backdoor, contatando um controlador (ligando para casa) que pode então ter acesso que não é autorizado ao computador afetado, potencialmente instalando software adicional, como um registrador de teclas para roubar informações confidenciais, software de criptomineração ou adware para gerar receita para o operador do cavalo de Troia. Embora cavalos de Troia e backdoors não sejam facilmente detectáveis por si próprios, os computadores podem parecer rodar mais lentamente, emitir mais calor ou ruído do ventilador devido ao uso pesado do processador ou da rede, como pode ocorrer quando o software de criptomineração é instalado. Os criptomineradores podem limitar o uso de recursos e/ou rodar apenas durante os períodos ociosos em uma tentativa de evitar a detecção.
Ao contrário dos vírus e worms de computador, os cavalos de Troia geralmente não tentam se injetar em outros arquivos ou se propagar de outra forma.
Na primavera de 2017, os usuários de Mac foram atingidos pela nova versão do Proton Remote Access Trojan (RAT) treinado para extrair dados de senha de várias fontes, como dados de preenchimento automático do navegador, cofres de senhas e o chaveiro do Mac-OS.

#### Droppers

Droppers são um subtipo de cavalos de Troia que visam unicamente entregar malware no sistema que eles infectam com o desejo de subverter a detecção por meio de uma carga leve e discreta. É importante não confundir um dropper com um loader ou stager. Um loader ou stager irá meramente carregar uma extensão do malware (por exemplo, uma coleção de funções maliciosas por meio de injeção de biblioteca de link dinâmico reflexivo) na memória. O propósito é manter o estágio inicial leve e indetectável. Um dropper meramente baixa mais malware para o sistema.

#### Ransomware

O ransomware impede que um usuário acesse seus arquivos até que um resgate seja pago. Existem duas variações de ransomware, sendo o ransomware criptográfico e o ransomware de bloqueio. O ransomware de bloqueio apenas bloqueia um sistema de computador sem criptografar seu conteúdo, enquanto o ransomware de criptografia bloqueia um sistema e criptografa seu conteúdo. Por exemplo, programas como o CryptoLocker cifram arquivos com segurança e só os descriptografam mediante o pagamento de uma quantia substancial de dinheiro.
Telas de bloqueio, ou bloqueadores de tela, são um tipo de ransomware de "polícia cibernética" que bloqueia telas em dispositivos Windows ou Android com uma falsa acusação de coleta de conteúdo ilegal, tentando assustar as vítimas para que paguem uma taxa. O Jisut e o SLocker impactam dispositivos Android mais do que outras telas de bloqueio, com o Jisut representando quase 60 por cento de todas as detecções de ransomware Android.
Ransomware baseado em cifragem, como o nome sugere, é um tipo de ransomware que cifra todos os arquivos em uma máquina infectada. Esses tipos de malware então exibem uma pop-up informando ao usuário que seus arquivos foram cifrados e que ele deve pagar (geralmente em Bitcoin) para recuperá-los. Alguns exemplos de ransomware baseado em cifragem são o CryptoLocker e o WannaCry.

#### Fraude de clique

Alguns malwares são usados para gerar dinheiro por fraude de cliques, fazendo parecer que o usuário do computador clicou em um link de propaganda em um site, gerando um pagamento do anunciante. Foi estimado em 2012 que cerca de 60 a 70% de todos os malwares ativos usaram algum tipo de fraude de cliques, e 22% de todos os cliques em anúncios foram fraudulentos.

### Grayware

Grayware é qualquer aplicativo ou arquivo indesejado que pode piorar o desempenho dos computadores e causar riscos à segurança, mas sobre o qual não há consenso ou dados suficientes para classificá-los como malware. Os tipos de greyware geralmente incluem spyware, adware, discadores fraudulentos, programas de piadas ("jokeware") e ferramentas de acesso remoto. Por exemplo, em um ponto, os discos compactos da Sony BMG instalaram silenciosamente um rootkit nos computadores dos compradores com a intenção de impedir cópias ilícitas.

#### Programa potencialmente indesejado

Programas potencialmente indesejados (PUPs) são aplicativos que seriam considerados indesejados, apesar de muitas vezes serem baixados intencionalmente pelo usuário. Os programas potencialmente indesejados incluem spyware, adware e discadores fraudulentos.
Muitos produtos de segurança classificam geradores de chaves que não são autorizados como programas potencialmente indesejados, embora frequentemente carreguem malware verdadeiro além de sua finalidade ostensiva. Na verdade, Kammerstetter et al. (2012) estimaram que até 55% dos geradores de chaves podem conter malware e que cerca de 36% dos geradores de chaves maliciosos não foram detectados por software antivírus.

#### Adware

Alguns tipos de adware desativam a proteção antimalware e antivírus; existem soluções técnicas disponíveis.

#### Spyware

Programas projetados para monitorar a navegação na web dos usuários, exibir anúncios que não são solicitados ou redirecionar receitas de marketing de afiliados são chamados de spyware. Programas de spyware não se espalham como vírus; em vez disso, eles geralmente são instalados explorando falhas de segurança. Eles também podem ser ocultados e empacotados junto com software que não é relacionado instalado pelo usuário. O rootkit da Sony BMG foi criado para impedir cópias ilícitas; mas também relatou os hábitos de escuta dos usuários e criou vulnerabilidades de segurança extras involuntariamente.

## Detecção

O software antivírus normalmente usa duas técnicas para detectar malware: (i) análise estática e (ii) análise dinâmica ou heurística. A análise estática envolve o estudo do código de software de um programa potencialmente malicioso e a produção de uma assinatura desse programa. Essas informações são então usadas para comparar arquivos escaneados por um programa antivírus. Como essa abordagem não é útil para malware que ainda não foi estudado, o software antivírus pode usar análise dinâmica para monitorar como o programa é executado em um computador e bloqueá-lo se ele executar atividades inesperadas.
O objetivo de qualquer malware é se esconder da detecção por usuários ou software antivírus. Detectar malware potencial é difícil por dois motivos. O primeiro é que é difícil determinar se o software é malicioso. O segundo é que o malware usa medidas técnicas para dificultar sua detecção. Estima-se que 33% do malware não seja detectado por software antivírus.
A técnica antidetecção mais comumente empregada envolve criptografar a carga útil do malware para evitar que o software antivírus reconheça a assinatura. Ferramentas como as criptadoras vêm com um blob de código malicioso cifrado e um stub de decifragem. O stub decifra o blob e o carrega na memória. Como o antivírus normalmente não verifica a memória e apenas verifica os arquivos na unidade, isso permite que o malware evite a detecção. O malware avançado tem a capacidade de se transformar em diferentes variações, tornando menos provável que seja detectado devido às diferenças em suas assinaturas. Isso é conhecido como malware polimórfico. Outras técnicas comuns usadas para evitar a detecção incluem, do comum ao incomum: (1) evasão de análise e detecção por impressão digital do ambiente quando executado; (2) métodos de detecção de ferramentas automatizadas confusas. Isso permite que o malware evite a detecção por tecnologias como software antivírus baseado em assinatura, alterando o servidor usado pelo malware; (3) evasão baseada em tempo. Isto é quando o malware é executado em certos momentos ou após certas ações tomadas pelo usuário, então ele é executado durante certos períodos vulneráveis, como durante o processo de inicialização, enquanto permanece inativo o resto do tempo; (4) ofuscando dados internos para que ferramentas automatizadas não detectem o malware; (v) técnicas de ocultação de informações, ou seja, stegomalware; e (5) malware sem arquivo que é executado na memória em vez de usar arquivos e utiliza ferramentas de sistema existentes para realizar atos maliciosos. O uso de binários existentes para realizar atividades maliciosas é uma técnica conhecida como LotL, ou Living off the Land. Isso reduz a quantidade de artefatos forenses disponíveis para análise. Recentemente, esses tipos de ataques se tornaram mais frequentes com um aumento de 432% em 2017 e representam 35% dos ataques em 2018. Esses ataques não são fáceis de executar, mas estão se tornando mais prevalentes com a ajuda de kits de exploração.

## Riscos
### Software vulnerável

Uma vulnerabilidade é uma fraqueza, falha ou bug de software em uma aplicação, um computador completo, um sistema operacional ou uma rede de computadores que é explorada por malware para contornar defesas ou obter os privilégios necessários para ser executado. Por exemplo, o TestDisk 6.4 ou anterior continha uma vulnerabilidade que permitia que invasores injetassem código no Windows. O malware pode explorar defeitos de segurança (bugs ou vulnerabilidades de segurança) no sistema operacional, aplicativos (como navegadores, por exemplo, versões mais antigas do Microsoft Internet Explorer suportadas pelo Windows XP) ou em versões vulneráveis de plugues de navegadores, como Adobe Flash Player, Adobe Acrobat ou Reader, ou Java SE. Por exemplo, um método comum é a exploração de uma vulnerabilidade de estouro de buffer, onde o software projetado para armazenar dados em uma região especificada da memória não impede que mais dados do que o buffer pode acomodar sejam fornecidos. O malware pode fornecer dados que transbordam o buffer, com código ou dados maliciosos executáveis após o término; quando essa carga útil é acessada, ela faz o que o invasor, não o software legítimo, determina.
O malware pode explorar vulnerabilidades descobertas recentemente antes que os desenvolvedores tenham tempo de lançar uma correção adequada. Mesmo quando novas correções abordando a vulnerabilidade foram lançadas, elas podem não ser necessariamente instaladas imediatamente, permitindo que o malware tire vantagem de sistemas sem correções. Às vezes, mesmo a aplicação de correções ou a instalação de novas versões não desinstala automaticamente as versões antigas.
Existem várias maneiras de os usuários se manterem informados e protegidos contra vulnerabilidades de segurança em software. Os provedores de software geralmente anunciam atualizações que abordam problemas de segurança. Vulnerabilidades comuns recebem identificadores exclusivos (IDs CVE) e são listadas em bancos de dados públicos como o Banco de Dados Nacional de Vulnerabilidades. Ferramentas como o Secunia PSI, gratuitas para uso pessoal, podem escanear um computador em busca de software desatualizado com vulnerabilidades conhecidas e tentar atualizá-lo. Firewalls e sistemas de prevenção de intrusões podem monitorar o tráfego de rede em busca de atividades suspeitas que possam indicar um ataque.

### Privilégios excessivos

Usuários e programas podem receber mais privilégios do que o necessário, e malware pode tirar vantagem disso. Por exemplo, de 940 aplicativos Android amostrados, um terço deles solicitou mais privilégios do que o necessário. Aplicativos direcionados à plataforma Android podem ser uma grande fonte de infecção por malware, mas uma solução é usar software de terceiros para detectar aplicativos aos quais foram atribuídos privilégios excessivos.
Alguns sistemas permitem que todos os usuários façam alterações nos principais componentes ou configurações do sistema, o que é considerado acesso superprivilegiado hoje. Este era o procedimento operacional padrão para os primeiros sistemas de microcomputadores e computadores domésticos, onde não havia distinção entre um administrador ou root e um usuário regular do sistema. Em alguns sistemas, usuários que não são administradores são superprivilegiados por design, no sentido de que eles têm permissão para modificar estruturas internas do sistema. Em alguns ambientes, os usuários são superprivilegiados porque receberam status de administrador ou equivalente de forma inadequada. Isso pode ocorrer porque os usuários tendem a exigir mais privilégios do que precisam, então muitas vezes acabam recebendo privilégios desnecessários.
Alguns sistemas permitem que o código executado por um usuário acesse todos os direitos desse usuário, o que é conhecido como código superprivilegiado. Esse também era um procedimento operacional padrão para os primeiros sistemas de microcomputadores e computadores domésticos. Malware, rodando como código superprivilegiado, pode usar esse privilégio para subverter o sistema. Quase todos os sistemas operacionais populares atualmente, e também muitos aplicativos de script, permitem que o código tenha muitos privilégios, geralmente no sentido de que quando um usuário executa o código, o sistema permite que esse código tenha todos os direitos desse usuário.

### Senhas fracas

Um ataque de credencial ocorre quando uma conta de usuário com privilégios administrativos é quebrada e essa conta é usada para fornecer malware com privilégios apropriados. Normalmente, o ataque é bem-sucedido porque a forma mais fraca de segurança de conta é usada, que normalmente é uma senha curta que pode ser quebrada usando um ataque de dicionário ou de força bruta. Usar senhas fortes e habilitar a autenticação de dois fatores pode reduzir esse risco. Com o último habilitado, mesmo que um invasor consiga quebrar a senha, ele não pode usar a conta sem também ter o token possuído pelo usuário legítimo dessa conta.

### Uso do mesmo sistema operacional

A homogeneidade pode ser uma vulnerabilidade. Por exemplo, quando todos os computadores em uma rede executam o mesmo sistema operacional, ao explorar um, um worm pode explorar todos eles: Em particular, o Microsoft Windows ou o Mac OS X têm uma fatia tão grande do mercado que uma vulnerabilidade explorada concentrada em qualquer sistema operacional poderia subverter um grande número de sistemas. Estima-se que aproximadamente 83% das infecções por malware entre janeiro e março de 2020 foram disseminadas por sistemas que executam o Windows 10. Esse risco é mitigado pela segmentação das redes em diferentes sub-redes e pela configuração de firewalls para bloquear o tráfego entre elas.

## Mitigação
### Software antivírus / anti-malware

Programas anti-malware (às vezes também chamados de antivírus) bloqueiam e removem alguns ou todos os tipos de malware. Por exemplo, o Microsoft Security Essentials (para Windows XP, Vista e Windows 7) e o Windows Defender (para Windows 8, 10 e 11) fornecem proteção em tempo real. A Ferramenta de Remoção de Software Malicioso do Windows remove software malicioso do sistema. Além disso, vários programas de software antivírus capazes estão disponíveis para download gratuito na Internet (geralmente restritos ao uso não comercial). Testes descobriram que alguns programas gratuitos são competitivos com os comerciais.
Normalmente, o software antivírus pode combater malware das seguintes maneiras:
* Proteção em tempo real: Eles podem fornecer proteção em tempo real contra a instalação de software malware em um computador. Esse tipo de proteção contra malware funciona da mesma forma que a proteção antivírus, pois o software antimalware verifica todos os dados de rede recebidos em busca de malware e bloqueia quaisquer ameaças que ele encontre.
* Remoção: Programas de software anti-malware podem ser usados somente para detecção e remoção de software de malware que já foi instalado em um computador. Este tipo de software anti-malware verifica o conteúdo do registro do Windows, arquivos do sistema operacional e programas instalados em um computador e fornecerá uma lista de quaisquer ameaças encontradas, permitindo que o usuário escolha quais arquivos excluir ou manter, ou comparar esta lista com uma lista de componentes de malware conhecidos, removendo arquivos que correspondem.
* Sandboxing: Uma Sandbox confina os aplicativos em um ambiente controlado, restringindo suas operações e isolando-os de outros aplicativos no host, ao mesmo tempo em que limita o acesso aos recursos do sistema. O sandboxing do navegador isola os processos da web para evitar malware e explorações, aumentando a segurança.

#### Proteção em tempo real

Um componente específico do software antimalware, comumente chamado de scanner em tempo real ou ao acessar, se conecta profundamente à parte central ou ao núcleo do sistema operacional e funciona de maneira semelhante a como certos malwares tentariam operar, embora com a permissão informada do usuário para proteger o sistema. Sempre que o sistema operacional acessa um arquivo, o scanner em tempo real verifica se o arquivo está infectado ou não. Normalmente, quando um arquivo infectado é encontrado, a execução é interrompida e o arquivo é colocado em quarentena para evitar mais danos com a intenção de evitar danos irreversíveis ao sistema. A maioria dos antivírus permite que os usuários substituam esse comportamento. Isso pode ter um impacto considerável no desempenho do sistema operacional, embora o grau de impacto dependa de quantas páginas ele cria na memória virtual.

#### Sandboxing

Sandboxing é um modelo de segurança que confina aplicativos dentro de um ambiente controlado, restringindo suas operações a ações "seguras" autorizadas e isolando-as de outros aplicativos no host. Ele também limita o acesso a recursos do sistema, como memória e sistema de arquivos, para manter o isolamento.
Sandboxing do navegador é uma medida de segurança que isola os processos e as guias do navegador da web do sistema operacional para evitar que códigos maliciosos explorem vulnerabilidades. Ele ajuda a proteger contra malware, explorações de dia zero e vazamentos de dados que não são intencionais, capturando códigos potencialmente prejudiciais dentro da sandbox. Ela envolve a criação de processos separados, limitando o acesso aos recursos do sistema, executando conteúdo da web em processos isolados, monitorando chamadas do sistema e restrições de memória. A comunicação entre processos (IPC) é usada para comunicação segura entre processos. Escapar da sandbox envolve mirar em vulnerabilidades no mecanismo da sandbox ou nos recursos de sandboxing do sistema operacional.
Embora a sandboxing não seja infalível, ela reduz significativamente a superfície de ataque de ameaças comuns. Manter navegadores e sistemas operacionais atualizados é crucial para mitigar vulnerabilidades.

### Verificações de segurança de sites

As verificações de vulnerabilidades de sites verificam o site, detectam malware, podem observar softwares desatualizados e relatar problemas de segurança conhecidos, a fim de reduzir o risco de comprometimento do site.

### Segregação de rede

Estruturar uma rede como um conjunto de redes menores e limitar o fluxo de tráfego entre elas para o que é sabidamente legítimo pode dificultar a capacidade do malware infeccioso de se replicar pela rede mais ampla. A rede definida por software fornece técnicas para implementar tais controles.

### "Rede paralela" ou isolamento com "lacuna de ar"

Como último recurso, os computadores podem ser protegidos contra malware, e o risco de computadores infectados disseminarem informações confiáveis ​​pode ser bastante reduzido impondo uma "lacuna de ar" (ou seja, desconectando-os completamente de todas as outras redes) e aplicando controles aprimorados sobre a entrada e saída de software e dados do mundo externo. No entanto, o malware ainda pode cruzar a lacuna de ar em algumas situações, principalmente devido à necessidade de introduzir software na rede com lacuna de ar e pode danificar a disponibilidade ou integridade dos ativos nela contidos. O Stuxnet é um exemplo de malware que é introduzido no ambiente de destino por meio de uma unidade USB, causando danos aos processos suportados no ambiente sem a necessidade de exfiltrar dados.
AirHopper, BitWhisper, GSMem e Fansmitter são quatro técnicas introduzidas por pesquisadores que podem vazar dados de computadores com lacunas de ar usando emissões eletromagnéticas, térmicas e acústicas.

## Pesquisa

Utilizando análise bibliométrica, o estudo das tendências de pesquisa de malware de 2005 a 2015, considerando critérios como periódicos de impacto, artigos altamente citados, áreas de pesquisa, número de publicações, frequência de palavras-chave, instituições e autores, revelou uma taxa de crescimento anual de 34,1%. A América do Norte liderou na produção de pesquisa, seguida pela Ásia e Europa. China e Índia foram identificadas como contribuintes emergentes.