Sumário

A aula que mais aparece em concurso de qualquer cargo. Você precisa diferenciar tipos de malware (vírus × worm × trojan × ransomware) e variantes de phishing (spear, whaling, smishing, vishing, pharming, BEC). Aqui também aparecem ataques de senha e a tipificação penal brasileira.

1. Conceito de malware e categorias

   Vírus × Worm × Trojan: as 3 distinções clássicas
   p. 04
2. Tipos por função

   Spyware, Adware, Rootkit, Backdoor, RAT, Bot, Fileless, Wiper, Cryptojacker
   p. 08
3. Ransomware: o golpe da década

   WannaCry, Petya, NotPetya, LockBit, dupla extorsão
   p. 12
4. Engenharia social e phishing

   Phishing, spear, whaling, smishing, vishing, pharming, BEC, baiting
   p. 16
5. Ataques de rede e web

   DDoS, MITM, ARP/DNS spoof. SQL injection, XSS, CSRF (OWASP Top 10)
   p. 20
6. Ataques de senha

   Brute force, dictionary, rainbow table, credential stuffing, spraying
   p. 24
7. Tipificação penal brasileira

   Lei 12.737/2012 (Carolina Dieckmann), Lei 14.155/2021. CP Arts. 154-A, 266, 298
   p. 27
8. Mapa mental, revisão e questões comentadas

   10 questões fechando a aula
   p. 30

Meta desta aula

Distinguir tipos de malware. Identificar variantes de phishing e engenharia social. Conhecer ataques de rede e web (OWASP). Compreender ataques de senha. Conhecer tipificação penal brasileira (Lei 12.737/2012 e Lei 14.155/2021).

O que você vai aprender

Dica do Fuffu

Em prova, três pontos rendem 70%: 1) vírus × worm × trojan (3 distinções); 2) ransomware (cifra + extorsão); 3) phishing e variantes. Decora esses 3 grupos e fica acima da média.

Prof. Affonsinho explica, Módulo 01

1 A trinca clássica do malware

O que é malware

O termo malware (malicious software) cobre qualquer software cujo objetivo é prejudicar o usuário, o sistema ou os dados. Embora popularmente todos os tipos sejam chamados de "vírus", a terminologia técnica distingue várias categorias com características próprias.

A distinção mais clássica e cobrada em prova é entre vírus, worm e trojan. Cada um se propaga de modo diferente.

Vírus

O vírus é o tipo mais antigo. Características:

• Precisa de hospedeiro: anexa-se a arquivo legítimo (executável, documento Office com macro, script).
• Exige execução do usuário: o vírus não roda sozinho. Só age quando o arquivo infectado é aberto.
• Propaga-se infectando outros arquivos: cada vez que executa, replica-se.
• Pode ser dormente: aguardar uma data, evento ou condição para ativar.

Subtipos:

• Vírus de arquivo: infecta executáveis .exe, .com.
• Vírus de boot: infecta o setor de inicialização do disco.
• Vírus de macro: infecta documentos Office com macros (.docm, .xlsm). Famoso no fim dos anos 1990.
• Vírus polimórfico: muda de assinatura a cada infecção, dificultando detecção.
• Vírus metamórfico: além de mudar assinatura, reescreve seu próprio código.
• Vírus stealth: esconde presença interceptando chamadas do sistema.
• Vírus residente: fica em memória.

Exemplos famosos: Brain (1986, primeiro vírus para PC), Michelangelo (1991), Concept (1995, primeiro vírus de macro), Melissa (1999).

Worm

O worm (verme) é mais autônomo. Características:

• Não precisa de hospedeiro: é um programa independente.
• Não exige execução voluntária: pode explorar vulnerabilidade de rede e se instalar sozinho.
• Propaga-se sozinho via rede: copia-se para outros sistemas conectados, sem ação do usuário.
• Pode causar congestionamento: a propagação massiva consome banda.

Exemplos famosos:

• Morris Worm (1988): primeiro worm a se espalhar na ARPANET, criado por Robert Tappan Morris. Derrubou ~10% da internet da época. Primeiro caso processado pelo CFAA dos EUA.
• ILOVEYOU (2000): worm filipino que se espalhou via e-mail. Causou USD 5,5 bilhões em prejuízo.
• Code Red (2001): explorava IIS.
• Nimda (2001).
• Blaster (2003) e Sasser (2004): exploravam vulnerabilidades do Windows.
• Conficker (2008): infectou ~9 milhões de máquinas.
• Stuxnet (2010): worm sofisticado, atribuído a EUA/Israel, mirava centrífugas nucleares iranianas.
• WannaCry (2017): híbrido (worm + ransomware), explorou EternalBlue.

Trojan (Cavalo de Troia)

O trojan ou cavalo de Troia se disfarça de software legítimo. Características:

• Aparenta ser benigno: jogo crackeado, "ativador", utilitário gratuito, ferramenta de remoção.
• Exige execução voluntária: o usuário baixa e abre, achando que é útil.
• NÃO se propaga sozinho: depende de distribuição (download, e-mail, USB).
• Pode entregar carga maliciosa: backdoor, RAT, ransomware, spyware, dropper.

Subtipos por carga útil (payload):

• Trojan Backdoor: abre porta dos fundos.
• Trojan Banker: rouba credenciais bancárias.
• Trojan Dropper: instala outro malware.
• Trojan Downloader: baixa malware adicional após executar.
• Trojan Spy: espionagem.
• Trojan Rootkit: combina com rootkit para esconder.
• Trojan RAT (Remote Access Trojan): controle remoto total. NjRAT, DarkComet, Quasar, Adwind.

Comparativo: a tabela do Cebraspe

Bate-papo com o Seu Teoffilo

Em prova, banca cobra essa tabela. Decora: vírus precisa de hospedeiro + execução; worm é autônomo + propaga sozinho; trojan se disfarça + precisa de execução. Mnemônico: vírus = parasita; worm = explorador automático; trojan = ator. Em concurso federal, vai cair quase certo.

Prof. Affonsinho explica, Módulo 02

2 Outros tipos de malware

Spyware

O spyware espiona o usuário. Coleta informações (sites visitados, teclas digitadas, dados pessoais) e envia ao atacante. Subtipos:

• Keylogger: registra cada tecla digitada. Pode ser hardware (USB conectado) ou software.
• Screen Logger: tira capturas de tela em intervalos.
• Password Stealer: rouba credenciais salvas no navegador, FTP, e-mail.
• Tracking Cookie: cookie persistente que rastreia comportamento.
• Stalkerware: vendido como "controle parental"; usado em vigilância abusiva.

Adware

Software que exibe anúncios indesejados. Pode ser:

• Legítimo: software gratuito sustentado por anúncios (alguns games, freewares).
• Malicioso: instalado sem consentimento, redireciona busca, abre pop-ups, sequestra navegador (browser hijacker).

Quando combinado com tracking, vira PUA/PUP (Potentially Unwanted Application/Program).

Rootkit

O rootkit é o malware mais perigoso do ponto de vista técnico. Características:

• Esconde a própria presença: oculta processos, arquivos, conexões de rede dos antivírus e do usuário.
• Geralmente opera em nível de kernel: privilégios máximos.
• Mantém persistência: sobrevive a reinicializações, atualizações.
• Detecção difícil: precisa de ferramentas específicas, varredura de boot, análise forense.

Subtipos:

• Kernel-mode rootkit: opera no anel 0 do sistema.
• User-mode rootkit: opera em espaço de usuário (mais simples, menos perigoso).
• Bootkit: infecta o setor de boot ou MBR/UEFI.
• Firmware rootkit: infecta firmware (BIOS, UEFI, controladora SSD).
• Hypervisor rootkit: cria hypervisor abaixo do SO (Blue Pill).

Famosos: Stoned (1987), Sony BMG XCP (2005, escândalo da Sony), TDL/Alureon, Necurs.

Backdoor

Porta de fundo: acesso oculto ao sistema, sem passar pelos controles normais. Pode ser:

• Maliciosa: instalada por atacante para retornar.
• Inserida na fase de desenvolvimento: por funcionário interno (insider) ou em supply chain.
• Embutida em hardware: discutida em escândalos políticos.

RAT - Remote Access Trojan

Permite ao atacante controle remoto completo do sistema infectado. Funções típicas:

• Captura de tela, áudio, webcam.
• Keylogging.
• Roubo de arquivos.
• Execução de comandos remotos.
• Pivote para atacar outras máquinas da rede.

Famosos: Sub7 (1999), Back Orifice (1998), NjRAT, DarkComet, Quasar, Remcos, AsyncRAT.

Bot e Botnet

Um bot (zumbi) é uma máquina comprometida sob controle remoto. Vários bots formam uma botnet, comandada por um C2 (Command and Control). Botnets são alugadas no mercado negro para:

• Ataques DDoS (vimos rápido na aula 9; aprofundamos no módulo 5).
• Envio massivo de spam e phishing.
• Mineração de criptomoeda em escala.
• Cracking de senhas.
• Click fraud.

Famosas: Mirai (2016, IoT, derrubou Dyn DNS); Zeus, Emotet (desmantelada em 2021, ressuscitada), Trickbot, Necurs.

Fileless malware

Não usa arquivo no disco. Roda inteiramente em memória RAM, geralmente injetando código em processos legítimos (PowerShell, WMI, .NET). Vantagens para o atacante:

• Antivírus baseado em hash de arquivo não pega.
• Some ao reiniciar, mas pode ter mecanismo de persistência via registro/agendador.
• Difícil de fazer forense.

Em ascensão desde 2017. Combatido por EDR/comportamento, não por antivírus de assinatura.

Cryptojacker

Sequestra recursos da máquina para minerar criptomoeda (Bitcoin, Monero) em benefício do atacante. Sintomas: lentidão, alto uso de CPU/GPU, aquecimento. Pode ser via malware instalado ou via JavaScript no navegador (drive-by mining; Coinhive foi famoso, descontinuado em 2019).

Wiper

Destrói dados sem possibilidade de recuperação. Aparenta ransomware mas não há intenção de devolver. Casos famosos:

• Shamoon (2012): atingiu Saudi Aramco.
• NotPetya (2017): aparentava ransomware, era wiper. USD 10 bilhões em prejuízo.
• HermeticWiper, IsaacWiper, AcidRain (2022): direcionados à Ucrânia.
• Olympic Destroyer (2018): atacou as Olimpíadas de Inverno.

Logic bomb (bomba lógica)

Código malicioso que ativa em condição específica (data, ação, ausência de funcionário). Frequentemente inserido por insider rancoroso. Difícil detectar antes da ativação.

Pegadinha da Dotôra Soffya

Cuidado com 3 confusões. Primeira: spyware ≠ adware. Spyware espiona; adware exibe anúncios. Segunda: RAT ≠ rootkit. RAT dá controle remoto; rootkit oculta presença (geralmente kernel-level). Terceira: fileless não significa "sem ataque"; significa "sem arquivo no disco". Vive em memória, ainda mais perigoso.

Prof. Affonsinho explica, Módulo 03

3 Ransomware: o golpe da década

O que é

O ransomware (do inglês "ransom" = resgate) é o malware que cifra os dados da vítima e exige resgate (geralmente em criptomoeda) para liberar a chave de decifragem. Ataca diretamente a disponibilidade dos dados (CIA Triad). É o tipo de ataque com maior crescimento nos últimos anos.

Como funciona

1. Vetor inicial: phishing com anexo malicioso, exploração de vulnerabilidade, RDP exposto, vetor supply chain.
2. Execução: o ransomware se instala.
3. Movimento lateral: ataca outras máquinas da rede via SMB, AD, credenciais roubadas.
4. Reconhecimento: identifica dados valiosos, backups, controle de domínio.
5. Exfiltração (em ataques modernos): copia dados antes de cifrar (para dupla extorsão).
6. Cifragem: cifra arquivos com algoritmos fortes (AES-256 + RSA-2048 ou ECC).
7. Nota de resgate: deixa README ou wallpaper exigindo pagamento.

Modelos de extorsão

• Simples: cifra dados, pede pagamento pela chave.
• Dupla extorsão (double extortion): além de cifrar, ameaça publicar dados roubados. Atinge confidencialidade + disponibilidade. Padrão atual desde ~2019.
• Tripla extorsão: cifra + ameaça vazar + ataca clientes/parceiros da vítima.
• Quádrupla extorsão: + DDoS para pressionar.

RaaS - Ransomware as a Service

Modelo de "negócio" criminoso onde grupos desenvolvem o ransomware e licenciam para "afiliados" que executam os ataques, dividindo o lucro. Profissionalizou o cibercrime. Famílias RaaS: LockBit, REvil, Conti, BlackCat (ALPHV), DarkSide, Cl0p.

Famílias famosas

• CryptoLocker (2013): pioneiro do ransomware moderno.
• WannaCry (maio de 2017): híbrido worm + ransomware. Explorou EternalBlue (vulnerabilidade SMB vazada da NSA). Atingiu 200 mil máquinas em 150 países, incluindo NHS britânico, Telefônica.
• Petya / NotPetya (junho de 2017): NotPetya foi um wiper disfarçado de ransomware. Atingiu Maersk (USD 300 milhões em prejuízo), Merck, FedEx.
• Ryuk (2018-2019): mira hospitais e grandes empresas.
• Sodinokibi/REvil (2019): dupla extorsão. Atacou JBS (USD 11 milhões pagos), Kaseya, Colonial Pipeline (combustível na costa leste dos EUA).
• Conti (2020-2022): atacou Costa Rica em 2022, governo declarou emergência nacional. Vazou após apoiar a Rússia na guerra.
• LockBit: o mais ativo em 2023-2024.
• BlackCat (ALPHV): desenvolvido em Rust, multiplataforma.
• Cl0p: famoso por explorar vulnerabilidades de transferência (MOVEit, GoAnywhere).

Brasil sob ataque

• STJ (2020): ataque com RansomEXX paralisou operação por dias.
• Atento (2020): USD 1 bilhão em ações afetadas.
• JBS (2021): USD 11 milhões pagos.
• Casas pernambucanas, Lojas Renner, Eletrobras, Embraer: incidentes notórios.

Defesa contra ransomware

1. Backup robusto e imutável (3-2-1-1-0): a defesa mais importante. Vimos na aula 10.
2. Patches em dia: corrigir vulnerabilidades exploradas.
3. MFA em todas as contas, especialmente RDP, VPN, e-mail.
4. Segmentação de rede: limitar movimento lateral.
5. EDR/XDR: detecta comportamento de ransomware (cifragem massiva).
6. Bloqueio de macros do Office: vetor comum.
7. Princípio do menor privilégio.
8. Treinamento contra phishing.
9. Plano de resposta a incidentes: testar.
10. Cyber insurance: contrato adequado.

Pagar ou não pagar?

Quando ataca, o operador exige pagamento. Recomendação geral:

• Não pagar sempre que possível: paga financia novos ataques, sem garantia de receber chave funcional, riscos legais (em alguns países, pagar grupo sancionado é crime).
• Pode haver decryptor público (No More Ransom Project: nomoreransom.org).
• Restaurar do backup (se houver e estiver íntegro).
• Notificar autoridades (no Brasil: Polícia Federal, ANPD em caso de dado pessoal).
• Em caso de dado pessoal: comunicar incidente conforme LGPD (até 24 horas em casos graves).

Alerta do Examinador

Em prova, decore: WannaCry (2017) usou EternalBlue, hibridizou worm + ransomware. NotPetya foi wiper disfarçado. Dupla extorsão = cifra + ameaça vazar (atinge confidencialidade + disponibilidade). RaaS = modelo afiliado. A defesa central é backup imutável + EDR + MFA + segmentação.

Prof. Affonsinho explica, Módulo 04

4 O elo mais fraco: o humano

O que é engenharia social

A engenharia social é a manipulação psicológica para que a vítima execute ação ou divulgue informação. Ataca o peopleware (vimos na aula 02). Exploramos vieses cognitivos: medo, urgência, autoridade, reciprocidade, prova social, escassez (princípios de Cialdini).

É a técnica mais eficaz de ataque. Não importa quão forte seja a tecnologia se o usuário fornece a senha por telefone.

Phishing

O phishing (do inglês "fishing", pescar) é o golpe mais comum. Vetor inicial: e-mail, SMS, mensagem em rede social, telefonema. O atacante se passa por entidade confiável (banco, Receita, TI, chefe) para induzir ação:

• Clicar em link malicioso.
• Abrir anexo infectado.
• Responder fornecendo credenciais.
• Realizar transferência bancária.

Sinais clássicos:

• Remetente parecido mas não idêntico (banc0 do brasil; bancodobrasil[.]net).
• Senso de urgência ("conta será bloqueada em 24h").
• Erros de português ou tradução automática.
• Saudação genérica ("Caro cliente").
• Link encurtado ou disfarçado.
• Anexo inesperado.
• Pedido de informação sensível.

Variantes de phishing

Outras técnicas de engenharia social

• Pretexting: o atacante cria pretexto convincente para obter info. Ex: ligar como "técnico de TI" pedindo senha.
• Baiting (isca): deixa pen drive infectado em local público (estacionamento) com label tentadora ("Salário Diretoria"). Curiosidade humana faz o resto.
• Tailgating / Piggybacking: passa pela catraca atrás de funcionário autorizado.
• Quid pro quo (toma lá dá cá): oferece benefício em troca de info ("se me der seu login, te ajudo com seu computador").
• Dumpster diving: revira lixo da empresa atrás de documentos descartados, post-its com senha.
• Shoulder surfing: olha por cima do ombro a senha sendo digitada.
• Watering hole: comprometendo site frequentado pelo público-alvo.
• Evil twin: Wi-Fi falso com nome similar ao legítimo.
• Deep fake / voice cloning: IA que imita voz/imagem. Ataque emergente, especialmente em vishing e BEC.

Defesa contra engenharia social

1. Treinamento contínuo: palestras, simulações, gamificação.
2. Cultura de "verificação": ligar de volta no número oficial, não no fornecido pelo "remetente".
3. Política de senha: nunca compartilhar, nunca por telefone, nunca por e-mail.
4. MFA universal: senha vazada, MFA segura.
5. Filtros de e-mail: SPF, DKIM, DMARC + filtro antiphishing (Microsoft Defender for O365, Mimecast, Proofpoint).
6. Bloqueio de domínios suspeitos via DNS.
7. Sandbox de anexos antes da entrega.
8. Reportar tentativas: botão "marcar como phishing".
9. Política de pagamento: dupla aprovação para valores acima de teto, validação fora de banda (telefone).
10. Destruição segura de documentos (combate dumpster diving).

Outros golpes específicos do Brasil

• Golpe do Pix falso / Pix incorreto: vítima recebe um Pix por engano e devolve para chave diferente.
• Golpe do WhatsApp clonado: atacante usa código de verificação obtido via engenharia social para clonar conta.
• Golpe do link falso de pagamento de boleto: boleto adulterado.
• Golpe do falso suporte técnico: liga oferecendo "ajuda".
• Golpe do falso emprego: pede taxa adiantada ou dados pessoais.
• Romance Scam: relacionamento fictício para extorsão.

Dica do Raffinha

Em prova, decora as 6 variantes mais cobradas: phishing (massivo), spear phishing (alvo), whaling (executivo), smishing (SMS), vishing (voz), pharming (DNS). E lembra: BEC é fraude por e-mail simulando executivo (CEO Fraud). Banca cobra a distinção entre essas variantes em quase toda prova.

Prof. Affonsinho explica, Módulo 05

5 Ataques de rede e web

Negação de Serviço

• DoS (Denial of Service): um atacante satura o serviço com requisições.
• DDoS (Distributed DoS): vários atacantes ao mesmo tempo, geralmente via botnet. Mais difícil de mitigar.

Tipos por camada:

• Volumétrico (camada 3/4): satura banda. UDP flood, ICMP flood, SYN flood, NTP/DNS amplification.
• Protocolo: explora fragilidade de protocolo. Ping of Death, Smurf, Land.
• Aplicação (camada 7): HTTP flood, slowloris (mantém conexões abertas).

Defesa: WAF + CDN com proteção DDoS (Cloudflare, Akamai, AWS Shield).

Man-in-the-Middle (MITM)

Atacante se posiciona entre duas partes legítimas, interceptando ou alterando o tráfego. Vetores:

• ARP poisoning: envenena cache ARP em rede local.
• DNS spoofing: envenena cache DNS.
• Wi-Fi falso (evil twin): rede com nome similar.
• SSL stripping: força downgrade de HTTPS para HTTP.
• BGP hijacking: redireciona rota de roteamento global.

Defesa: HTTPS + HSTS sempre; VPN em redes públicas; certificate pinning em apps.

Sniffing e Session Hijacking

• Sniffing: capturar pacotes na rede (Wireshark, tcpdump). Em redes não cifradas, lê senhas em claro. Em rede cifrada, captura mas não lê.
• Session Hijacking: rouba cookie de sessão para se passar pela vítima logada.
• Cookie theft: via XSS, ou em rede pública.

OWASP Top 10 (2021)

O OWASP (Open Web Application Security Project) publica desde 2003 a lista das 10 categorias mais críticas de vulnerabilidades web. Versão 2021:

1. A01:2021 - Broken Access Control: controle de acesso quebrado.
2. A02:2021 - Cryptographic Failures: falhas criptográficas.
3. A03:2021 - Injection (incluindo SQL injection).
4. A04:2021 - Insecure Design: design inseguro.
5. A05:2021 - Security Misconfiguration.
6. A06:2021 - Vulnerable and Outdated Components.
7. A07:2021 - Identification and Authentication Failures.
8. A08:2021 - Software and Data Integrity Failures.
9. A09:2021 - Security Logging and Monitoring Failures.
10. A10:2021 - Server-Side Request Forgery (SSRF).

SQL Injection

Atacante insere comando SQL em campo de entrada. Em vez de "joao" no campo de login, digita ' OR '1'='1. Se o sistema não sanitiza, a query SELECT * FROM users WHERE login = 'joao' AND senha = 'senha' vira SELECT * FROM users WHERE login = '' OR '1'='1' AND senha = '', retornando todos os usuários.

Subtipos:

• Classic / Error-based: forçar erros que vazam estrutura.
• Union-based: usar UNION para extrair dados.
• Blind: sem retorno visível, infere por timing ou booleanos.
• NoSQL injection: equivalente em MongoDB e similares.

Defesa: parametrized queries / prepared statements; ORM; validação de entrada; menor privilégio do usuário do banco; WAF.

XSS - Cross-Site Scripting

Atacante injeta JavaScript em página acessada pela vítima. Tipos:

• Refletido (reflected): parâmetro de URL malicioso volta no HTML.
• Persistente (stored): malware salvo no banco (comentário malicioso).
• DOM-based: manipulação do DOM no cliente.

Defesa: escape de HTML; Content Security Policy (CSP); cookies HttpOnly e Secure; sanitização.

CSRF - Cross-Site Request Forgery

Vítima logada num site é induzida a executar ação não desejada (clicar em link/imagem em outro site que dispara requisição autenticada). Defesa: tokens CSRF em formulários; cookies SameSite; verificar Origin/Referer.

SSRF, RCE, Path Traversal

• SSRF (Server-Side Request Forgery): força o servidor a fazer requisição interna ou externa não pretendida (ex: acessar metadata da nuvem).
• RCE (Remote Code Execution): executa código arbitrário no servidor. A pior categoria.
• Path Traversal: ../../etc/passwd sai do diretório esperado.
• Command Injection: injeta comando do SO em campo (após ponto-e-vírgula ou pipe).
• Insecure Deserialization: payload malicioso em objeto serializado.
• XXE (XML External Entity): exploração em parsers XML.
• Open Redirect: redireciona para site malicioso.

Outros conceitos

• Zero-day: vulnerabilidade desconhecida do fabricante. "Dia zero" desde a descoberta.
• Exploit: código que aproveita a vulnerabilidade.
• Payload: a carga maliciosa entregue.
• Dropper: malware que baixa/instala outro.
• Loader: carrega malware em memória.
• Shell: acesso a linha de comando do sistema. Reverse shell, bind shell.
• Webshell: shell via página web.
• C2 (Command and Control): servidor que controla bots.

Bate-papo com o Seu Teoffilo

Em prova, decora os 3 ataques web mais cobrados: SQL injection (insere SQL em entrada), XSS (insere JS em página), CSRF (induz vítima logada a executar ação). E os 4 conceitos: zero-day (vulnerabilidade desconhecida do fabricante), exploit (código que explora), payload (carga maliciosa), RCE (execução remota, o pior).

Prof. Affonsinho explica, Módulo 06

6 Ataques contra senha

Brute force

O ataque mais simples e tradicional. Tenta todas as combinações possíveis de caracteres até acertar. Características:

• Lento para senhas longas e complexas.
• Eficaz contra senhas curtas (4-6 caracteres).
• Acelerado por GPU (NVIDIA RTX) e ASICs.
• Pode ser online (contra serviço ao vivo) ou offline (contra hash vazado).

Defesa: bloqueio após N tentativas, captcha, delay exponencial, 2FA.

Dictionary attack

Tenta senhas de uma lista pré-definida (dicionário). Listas comuns: rockyou.txt (32 milhões de senhas vazadas em 2009), SecLists, dicionários por idioma. Mais rápido que brute force, eficaz contra senhas comuns ("123456", "password", "senha", nome do filho, time de futebol).

Defesa: política de senha forte, verificação contra base de senhas vazadas (Have I Been Pwned API).

Rainbow table

Estrutura pré-calculada que mapeia hashes em senhas. Em vez de calcular hash de cada tentativa, consulta a tabela. Acelera ataques contra hash sem salt em ordens de magnitude. Defesa: salt único por usuário, hash lento (bcrypt, scrypt, Argon2).

Credential Stuffing

Usa credenciais vazadas em outros sites para tentar login. Conta com a reutilização de senha entre sites. Vítima usa "Senha123" no Yahoo (que vazou) e no banco. Atacante tenta no banco e acerta.

Defesa: nunca reutilizar senha, gerenciador de senhas, MFA universal, monitoramento de login anômalo.

Password spraying

Inverso do brute force típico: poucas senhas (uma ou duas) testadas em muitas contas. Evita bloqueio após N tentativas (cada conta vê 1-2 tentativas, não dispara alerta). Senhas usadas: "Empresa@2025", "Verao2025".

Defesa: monitorar tentativas distribuídas, política de senha forte, MFA.

Outros ataques de senha

• Shoulder surfing: olhar por cima do ombro durante digitação.
• Pass-the-Hash: usa hash NTLM diretamente sem precisar conhecer a senha em claro. Comum em movimento lateral em rede Windows.
• Pass-the-Ticket: equivalente em Kerberos.
• Golden Ticket / Silver Ticket: ataques avançados contra Kerberos em Active Directory.
• Kerberoasting: extrai TGS de contas de serviço para crack offline.
• Keylogger: já visto, captura senhas digitadas.
• Phishing de credencial: visto no módulo 4.
• SIM swapping: trocar chip da vítima para receber SMS de 2FA.

Vazamentos de senha

Quando um site é comprometido, a base de dados pode ser exposta. Casos famosos:

• Yahoo (2013-2014): 3 bilhões de contas.
• LinkedIn (2012, revelado 2016): 165 milhões.
• Adobe (2013): 153 milhões.
• Marriott (2018): 500 milhões.
• Facebook (2019, revelado 2021): 533 milhões.
• Brasil (vazamento gigante de 2021): 220 milhões de CPFs.

Você pode verificar se seu e-mail/CPF foi exposto em sites como haveibeenpwned.com.

Boas práticas para senha

1. Senha longa: 12+ caracteres, idealmente 16+.
2. Não reutilizar entre sites.
3. Gerenciador de senhas: 1Password, Bitwarden, KeePass.
4. Passphrase: "cavalo bateria correto grampo" é mais forte que "P@ssw0rd!" típico.
5. Sem palavras de dicionário.
6. 2FA universal, preferindo TOTP ou FIDO2 a SMS.
7. Trocar quando comprometida (NIST 2017 desencoraja troca periódica forçada).
8. Monitoramento via Have I Been Pwned API.
9. Passkeys (FIDO2/WebAuthn): substituem senha em sites compatíveis. Tendência em 2026.

Passkeys: o futuro pós-senha

O passkey usa criptografia assimétrica em vez de senha. O dispositivo guarda a chave privada; o site guarda a pública. Login = assinatura digital. Vantagens:

• Não há senha para roubar.
• Imune a phishing (a chave só funciona no domínio correto).
• Imune a brute force, dictionary, credential stuffing.
• Sem reutilização (cada site tem chave única).
• Usuário só desbloqueia o dispositivo (biometria, PIN).

Suportado por Apple (iCloud Keychain), Google (Google Password Manager), Microsoft (Windows Hello), 1Password, Bitwarden. Crescendo rápido em 2024-2026.

Pegadinha da Dotôra Soffya

Cuidado com 3 distinções clássicas. Brute force: tenta tudo. Dictionary: tenta lista pré-definida. Rainbow table: usa tabela pré-calculada de hashes. Credential stuffing: usa vazamento de outro site. Password spraying: poucas senhas em muitas contas. Banca cobra essas 5 distinções.

Prof. Affonsinho explica, Módulo 07

7 O que diz o Código Penal

Lei 12.737/2012 - Lei Carolina Dieckmann

A Lei 12.737, de 30 de novembro de 2012, conhecida como "Lei Carolina Dieckmann" (em referência à atriz que teve fotos íntimas vazadas), foi a primeira norma brasileira a tipificar especificamente crimes cibernéticos. Acrescentou ao Código Penal:

• Art. 154-A: Invasão de dispositivo informático. "Invadir dispositivo informático alheio, conectado ou não à rede de computadores, com o fim de obter, adulterar ou destruir dados ou informações sem autorização expressa ou tácita do titular do dispositivo ou instalar vulnerabilidades para obter vantagem ilícita". Pena: 1 a 4 anos de reclusão e multa.
• Art. 154-B: Ação penal. Procede-se mediante representação, salvo se cometido contra a administração pública.
• Alterou Art. 266 (interrupção/perturbação de serviço) e Art. 298 (falsificação de documento particular) para incluir cartões de crédito e débito.

Lei 14.155/2021

Aumenta as penas de crimes cometidos por meio eletrônico. Altera o Código Penal:

• Art. 154-A: pena passa de 1-4 para 1-4 anos mas com aumento de 1/3 a 2/3 se cometido contra agente público, ou se há prejuízo, ou se há transmissão a terceiros.
• Estelionato (Art. 171): cria §2-A "fraude eletrônica". Pena: 4-8 anos quando cometido por meio eletrônico ou com uso de servidor mantido fora do território nacional.
• Aumenta pena de furto (Art. 155) quando cometido eletronicamente: pena 4-8 anos de reclusão (era 1-4 do furto comum), com aumento se há servidor estrangeiro ou se a vítima é idosa ou vulnerável.

Outros artigos do CP aplicáveis

• Art. 266 - Interrupção ou perturbação de serviço: aplicável a DDoS contra serviços essenciais. Pena: 1-3 anos e multa.
• Art. 298 - Falsificação de documento particular: cartões, documentos eletrônicos. Pena: 1-5 anos.
• Art. 313-A - Inserção de dados falsos em sistema informatizado (administração pública): pena 2-12 anos.
• Art. 313-B - Modificação ou alteração não autorizada de sistema: pena 3 meses-2 anos.
• Art. 240 - Atentado contra a segurança de serviço de utilidade pública: aplicável a sabotagem.
• Art. 154 - Violação de segredo profissional.
• Art. 138-140 - Calúnia, difamação, injúria: aplicáveis a crimes contra honra praticados online.
• Art. 218-C - Divulgação não consentida de imagem íntima (Lei 13.718/2018): porn revenge.

Marco Civil da Internet (Lei 12.965/2014)

Vimos na aula 7. Define direitos e deveres, neutralidade da rede, privacidade, guarda de logs. Em incidentes, é base para requisição judicial de logs de provedor.

LGPD (Lei 13.709/2018)

Veremos com profundidade na aula 14. Em segurança, exige:

• Adoção de medidas técnicas e organizacionais (Art. 46).
• Comunicação de incidente à ANPD em prazo razoável (Decreto 11.680/2023 detalhou).
• Comunicação à pessoa afetada quando há risco relevante.
• Multas de até 2% do faturamento, limitada a R$ 50 milhões por infração.

Lei 14.063/2020

Trata de assinatura eletrônica em comunicações com órgãos públicos. Vimos na aula 9.

Outras normas relevantes

• Lei 9.296/1996: interceptação de comunicações.
• Decreto 9.637/2018: Política Nacional de Segurança da Informação (PNSI).
• Decreto 10.222/2020: Estratégia Nacional de Segurança Cibernética (E-Ciber).
• Estatuto da Criança e do Adolescente (Lei 8.069/1990) Arts. 240-241: pornografia infantil.
• Lei 12.965/2014 Art. 7 + Art. 21 (revenge porn em conteúdo).
• Lei 13.709/2018 (LGPD).
• Convenção de Budapeste sobre Crime Cibernético (2001), que o Brasil aderiu por meio do Decreto Legislativo 37/2021.

Competência judicial

Em geral:

• Justiça Federal: quando atinge bens, serviços ou interesses da União; quando há internacionalidade do delito; em algumas modalidades de fraude eletrônica com servidor estrangeiro.
• Justiça Estadual: residual, casos comuns entre particulares.
• Em crimes contra honra praticados em rede social: regra geral é Justiça Estadual, com exceções.

Súmula 17 STJ e jurisprudência específica orientam casos concretos.

Bate-papo com o Seu Teoffilo

Em prova federal, decore: Lei 12.737/2012 (Carolina Dieckmann) tipificou invasão de dispositivo no Art. 154-A. Lei 14.155/2021 aumentou penas e criou Art. 171 §2-A (fraude eletrônica, pena 4-8 anos). Marco Civil é Lei 12.965/2014; LGPD é Lei 13.709/2018; assinatura eletrônica é Lei 14.063/2020. Esses 4 diplomas + os artigos do CP são o tronco da disciplina.

! Encontro com o vilão

O Professor Famoso é o vilão desta aula. Tem doutrina própria que diverge do consenso, e você só descobre na hora da prova. Em informática, ele jura que vírus e worm são sinônimos (não são), que ransomware ataca confidencialidade (na verdade ataca disponibilidade primariamente), que SQL injection ataca o banco (na verdade explora a aplicação que não sanitiza), que phishing é um malware (não é, é técnica).

O vilão da aula: Professor Famoso

Ele troca vírus × worm × trojan, spyware × adware, RAT × rootkit, phishing × malware, brute force × dictionary × rainbow table, SQL injection × XSS × CSRF. Atenção redobrada nas questões.

Como derrotar o Professor:

1. Memorize a tabela: vírus precisa hospedeiro + execução; worm autônomo + propaga sozinho; trojan disfarce + execução voluntária.
2. Memorize ransomware: cifra dados (disponibilidade); double extortion adiciona vazamento (confidencialidade).
3. Memorize 6 variantes phishing: phishing, spear, whaling, smishing, vishing, pharming. + BEC.
4. Memorize 3 ataques web: SQL injection, XSS, CSRF (OWASP Top 10).
5. Memorize 5 ataques senha: brute force, dictionary, rainbow table, credential stuffing, password spraying.
6. Memorize: Lei 12.737/2012 (Carolina Dieckmann, Art. 154-A); Lei 14.155/2021 (fraude eletrônica, Art. 171 §2-A, pena 4-8 anos).

◆ Mapa mental

↻ Revisão relâmpago

5 minutos antes da prova, leia só isto.

1. Vírus: precisa de hospedeiro + execução do usuário. Não auto-replica via rede.
2. Worm: autônomo. Propaga sozinho via rede (Morris 1988, ILOVEYOU 2000, WannaCry 2017).
3. Trojan: cavalo de Troia. Se disfarça de legítimo, exige execução voluntária. Não auto-replica.
4. Spyware: espiona (keylogger, screen logger). Adware: anúncios.
5. Rootkit: oculta presença, kernel-level. Bootkit: setor de boot.
6. Backdoor: porta dos fundos. RAT: controle remoto.
7. Bot/Botnet: zumbis controlados por C2 (Mirai, Emotet).
8. Fileless: vive em memória (PowerShell, WMI). Cryptojacker: mina cripto. Wiper: destrói (NotPetya).
9. Ransomware: cifra dados + resgate. Atinge disponibilidade. Famílias: WannaCry (2017, EternalBlue), LockBit, BlackCat, Conti.
10. Dupla extorsão: cifra + ameaça vazar (atinge confid + disp). RaaS: modelo afiliado.
11. Phishing: massivo. Spear: alvo. Whaling: executivo. Smishing: SMS. Vishing: voz. Pharming: DNS.
12. BEC: e-mail simulando CEO/CFO. Baiting: isca física. Pretexting, Tailgating, Quid pro quo.
13. DoS/DDoS: nega serviço. Volumétrico, protocolo, aplicação.
14. MITM: man-in-the-middle (ARP/DNS spoofing, evil twin, SSL stripping).
15. OWASP Top 10 2021: A01 Broken Access Control, A03 Injection, A07 Auth Failures, A10 SSRF.
16. SQL injection: insere SQL em entrada. XSS: insere JS em página. CSRF: induz vítima logada a executar ação.
17. Zero-day: vulnerabilidade desconhecida do fabricante. Exploit: código que explora. Payload: carga. RCE: execução remota.
18. Brute force: tudo. Dictionary: lista. Rainbow table: hashes pré-calculados.
19. Credential stuffing: vazamento de outro site. Password spraying: poucas senhas em muitas contas.
20. Pass-the-Hash, Pass-the-Ticket, Kerberoasting: ataques avançados em AD.
21. Passkey: substitui senha (FIDO2/WebAuthn). Imune a phishing, brute force.
22. Lei 12.737/2012 (Carolina Dieckmann): criou CP Art. 154-A (invasão de dispositivo, pena 1-4 anos).
23. Lei 14.155/2021: aumenta penas. CP Art. 171 §2-A (fraude eletrônica, pena 4-8 anos). Furto eletrônico Art. 155 §4-B (4-8 anos).
24. CP Art. 266: interrupção telecomunicações (DDoS). Art. 298: falsificação. Art. 313-A: inserção dados falsos.
25. Marco Civil Lei 12.965/2014. LGPD Lei 13.709/2018. Convenção Budapeste Decreto Legislativo 37/2021.

Você está pronto

25 pontos densos sobre pragas virtuais. Bora para as questões.

? 10 questões comentadas

Foco em vírus × worm × trojan, ransomware, phishing e variantes, ataques web (OWASP), ataques de senha, Lei 12.737/2012 e Lei 14.155/2021.

Dica do Fuffu

Em prova, dois pontos rendem 50%: a tabela vírus × worm × trojan e as 6 variantes de phishing. Decora esses dois conjuntos primeiro.