Como Criar um Vírus Sendo um Leigo?

As pessoas acham que vírus é coisa de hacker, especialistas que dominam uma tecnologia e se viram para o lado das trevas, adquirindo o nome de crackers. Vou te mostrar como criar vírus, mesmo você sendo um leigo. Afinal, não é preciso ser especialista para isso.

Os vírus são mais fáceis de se criar do que você pensa. Quem entende conceitos de segurança faz qualquer coisa. Mas, lembre-se um vírus é um software, um script. E isso não é mau. O que faz um software se tornar um vírus é a finalidade para a qual ele é feito. Se ainda tem dúvida disso, olhe o que significa um malware:

"Malware é um termo genérico para qualquer tipo de “malicious software” (“software malicioso”) projetado para se infiltrar no dispositivo sem seu conhecimento, causando dano ou falhas no sistema, ou roubando dados". - Definição da Internet

O principal aqui são duas palavras:

1. Causar Dano
2. Causar Falha

Logo, se não faz isso, é um software normal. Mas, se você criar algo para se infiltrar... isso é vírus? Depende!

Se você cria um software para criar um anúncio na internet, ele é bom. Mas, se uso essa ferramenta para espalhar fake news, ele é mau, ou seja, voltamos a forma como se usa e a finalidade.

Então, como posso criar um vírus?

Abra o visual studio code e digite um código que executa no navegador web do cliente. Isso pode ser um site comum. Mas, se ele pega os cookies do navegador, dados como: qual o navegador web, qual site ele acessou, qual o sistema operacional está funcionando, sem informar ao usuário, isso é infiltração.

Logo, estamos no caminho certo para criar o vírus. Como o Dev faz isso? No caso da programação web, temos o javascript, que manipula a Doom, ou seja, o html por baixo dos panos. Isso pode ser os campos de formulários que são preenchidos automaticamente, com base nos últimos preenchimentos do usuário, acessando a memória temporária do navegador, que contem tais dados.

Infiltração é um tipo de crime. Só para deixar claro. Não é a toa que uma das regras de segurança da informação, é que ao capturar dados do usuário, você deve informar para qual é a finalidade, e pedir o consentimento dele. Seja ele confirmando com um clique, ou mostrando para ela a política do site, e pedindo para que ele leia as regras e marque o botão de confirmar, antes de continuar.

Se teu site captura dados e não tem isso... repense em colocar tais informações, para que em caso de vazamento de dados, você não seja considerado um criminoso.

Aqui, não precisei de técnica de invasão, muito menos forçar nada, nem usei nada de algoritmos complexos e equipamento com muita capacidade de processamento. Fui só natural, sutil, e talvez, você já tenha feito isso sem perceber, achando que estaria facilitando a vida do usuário, e o usuário leigo, até gostou de tal facilidade.

Se você estuda o passo a passo de qualquer linguagem de programação, você vai notar que a linha entre o bem e o mau é tênue. Ou seja, se você pula regras, vaza dados, ou vai para o outro lado achando que está correto.

Participei de uma live de segurança da informação, onde perguntei... se houver um vazamento de dados, e não recebi dinheiro para melhorar a infraestrutura, comprar equipamentos potentes, softwares de segurança, e me capacitar, serei culpado. O palestrante disse: Sim!

Era sua responsabilidade proteger o ambiente e também, não construí-lo se não tem como proteger. Se você criou, então, é seu o dever de proteger (até certo ponto). Se você não documentar falhas, brechas, e causas possíveis, pontos que deveriam ser melhorados, para que o usuário aceite ou não, se quiser continuar com o desenvolvimento do software, e ele assumir o risco, você é o total culpado. Principalmente, se o software é legado.

Se você criar um script e o avast achar que é malicioso, ele vai mandar seu código para quarentena sem dó, nem piedade. Afinal, se você criar um software e o prepara para o usuário final, ele vai rodar no sistema dele, e lá tem antivírus. Se for fazer alterações em arquivos e pastas, copiar arquivos, seja para automatizar backups, ou tarefas... você pode estar criando um vírus, a depender de seu uso.

A ética está presente nas disciplinas de programação, nas faculdades. Tal como, nas graduações de ciência da computação, análise de sistemas, e algumas vezes, os alunos não entendem o motivo, e negligenciam a matéria.

Já na parte de cibersegurança, o tema ethinical hacker já fala por si mesmo. O especialista que sabe invadir e proteger, mas usa esse conhecimento de forma ética. Mas, aqui, já estamos falando de quem usa essas habilidades como profissão, e tem um conhecimento muito elevado da área de atuação.

Java, Python, C#, PHP, não importa a linguagem de programação. O que importa é como você a usa. Até um tempo atrás, o Google liberava o acesso a GMAIL, por meio da criação de scripts de terceiros, como forma de facilitar o acesso, automatizar backups, usar formulários do google, gratuitamente.

Mas, devido ao mau uso dos usuários, esse recurso se tornou restrito, pago, e cheio de burocracias, para evitar o uso indevido.

No marketing digital, cria-se várias páginas de captura de e-mails, onde hoje, devido a lgpd, os devs são obrigados a adicionar ao final da página, ou em algum lugar dela, a finalidade do uso desses dados, e as regras do site, para que o usuário aceite.

Alguns anos atrás, isso não era preciso. Logo, usávamos os dados colhidos como bem entendíamos. Digo, de acordo com a ética de cada um. Alguns usavam apenas para as suas finalidades de vendas de cursos online, já outros usavam para vendas de leads, potenciais clientes, dados como nome, telefone, e-mail.

Quem aqui nunca recebeu um e-mail de uma empresa que nunca viu nem acessou o site? Empresas reais e não usuários mau intencionados. Como capturaram seus dados? Um sistema legal, que virou ilegal, com base no tempo, e nas leis do implementadas no país.

E então, você já criou um vírus sem saber? Gostou do tema?

Referências:

• Definição de Malware, pelo Avast: https://www.avast.com/pt-br/c-malware#:~:text=Malware%20%C3%A9%20um%20termo%20gen%C3%A9rico,no%20sistema%2C%20ou%20roubando%20dados.
• Gmail não autoriza softwares menos seguros de terceiros: https://support.google.com/accounts/answer/6010255?hl=pt#:~:text=A%20partir%20de%2030%20de,como%20objetivo%20proteger%20sua%20conta.