A escalada insuportável dos vírus

27 de setembro, Leewarden, Holanda. Um garoto de 20 anos, Jan de Wit, ouve uma sentença leve num tribunal. Terá de prestar 150 horas de trabalho comunitário - ou então enfrentar 75 dias na prisão. Perderá para sempre um cd-rom confiscado pela polícia - e isso é tudo.

O que Jan de Wit fez? Ele é um script kiddie, uma dessas pestes que proliferam praticamente impunes na nova desordem mundial. Sem nem programar direito, apelou para um dos kits de vírus que hoje pululam pela internet e, da noite para o dia, ganhou fama mundial como OnTheFly, o autor do verme Anna Kournikova, que atingiu milhares de pessoas em fevereiro, a uma velocidade de até 4 500 e-mails por hora, por servidor. De quebra, ainda recebeu um convite para trabalhar na prefeitura de sua cidade quando se formasse.

A disseminação de script kiddies é apenas uma das pragas que tornam os usuários de computador vítimas de um verdadeiro terrorismo digital. É um terrorismo pujante - de dez a 12 vírus brotam por dia do nada, somando-se aos 58 mil já identificados, segundo dados da McAfee. É um terrorismo ascendente. Doze meses atrás, 1 em cada 1 400 e-mails tinha vírus. Hoje, 1 em cada 400, de acordo com a MessageLabs, empresa britânica de serviços antivírus online. Em 2013, se nada for feito, 1 em cada 2 mensagens terá vírus.

Os script kiddies se juntam a outra praga - o uso da engenharia social - para fazer de todos nós cúmplices da disseminação dos vírus. OnTheFly usou a promessa de uma foto da belíssima tenista russa Anna Kournikova para induzir as pessoas a abrirem o anexo do e-mail contaminado e espalharem o mal. A tática se torna cada vez mais comum. No dia 22 de outubro não corria a internet o brasileiríssimo Presença de Anita, cavalo-de-tróia que chegava pelo correio eletrônico, acenando com duas fotos da ninfeta Bel Lisboa, travando PCs a torto e a direito? Apela-se para as fraquezas humanas. Na velocidade da internet: um outro script kiddie, ainda desconhecido, aproveitou-se do pânico do bioterrorismo de outubro para criar o vírus do Antraz. Só que o autor era tão cru em programação que os bugs de sua autoria inviabilizaram a ação destrutiva do vírus. Kit utilizado: o VBSWG v1.0, o mesmo de Anna Kournikova, ainda hoje encontrável na web (não, não vamos dar o endereço para espíritos de porco saírem por aí detonando).

Mas a maior e mais letal praga do terrorismo digital do momento não são nem os script kiddies nem a engenharia social. É uma combinação de vermes com falhas de segurança exploradas pelos hackers. Com isso, dispensa-se qualquer tipo de intervenção humana na propagação dos vírus - como assistimos com o Nimda, em setembro, e o Code Red, em julho. Os dois aproveitavam os furos do servidor web Internet Information Server (IIS), da Microsof. Os vírus, nesse caso, se espalham maciçamente. Levada à perfeição, essa combinação letal poderá fazer no futuro com que um único verme contamine todos os PCs ligados à internet em apenas 20 minutos, segundo estimativas da Symantec.

O ataque do Nimda foi o mais alarmante da nova safra. Em 24 horas, o verme infectou 100 mil computadores em 29 países, segundo a McAfee, causando uma lentidão insuportável na conexão com a internet e prejuízos na casa dos 590 milhões de dólares. No Brasil, cerca de 200 empresas e 15 mil micros foram contaminados pelo Nimda em 48 horas, estima a Trend Micro. Dois meses antes, o Code Red inundara 300 mil computadores com mensagens, tirando várias redes do ar e provocando perdas de 2,6 bilhões de dólares. O Nimda surpreendeu com seu mecanismo de disseminação múltipla, que engloba e-mail, vulnerabilidades e compartilhamento de arquivos. O Code Red, por varrer a internet atrás de servidores, se instalar e bombardeá-los com dados.

Diante dessas ameaças do ciberterrorismo, sobra uma enorme dúvida: como se proteger? Mudando de atitude, sugerem os especialistas, para começar. Não é fácil, é claro. Você imaginava que alguém iria usar aviões comerciais como bombas para explodir as torres gêmeas de Nova York? Nem ninguém. Mas sempre há um padrão a observar. Nove entre dez vírus utilizam as mensagens de correio eletrônico para se propagar, 90% das cerca de 58 mil pragas existentes infectam sistemas operacionais Windows e outros softwares da Microsoft, e a maioria procura pegar a vítima pelo emocional. As preferências dos criadores de vírus se justificam. Como os pichadores de prédios, eles precisam deixar sua marca visível no maior número possível de máquinas para ganhar a admiração de seus pares. Em um mundo cada vez mais conectado, com uma população de internautas estimada em 459 milhões - 10 milhões no Brasil, segundo o Ibope, ou 23 milhões, de acordo com o Datafolha -, trocando bilhões de e-mails diariamente, a web é o veículo mais rápido, prático e eficiente para espalhar suas obras.

Os atrativos das várias versões do Windows são ainda maiores para a turma dos vírus. Além de equipar em torno de 90% dos PCs domésticos, o Windows responde por 50% dos sistemas operacionais utilizados pelos sites da web, de acordo com a consultoria inglesa Netcraft. E, por primar pela facilidade de uso, também exige menos conhecimento de programação. A esse caldo basta juntar um argumento convincente para vencer a defesa do destinatário.

Criatividade não falta. Horas depois de os fabricantes de antivírus soltarem uma vacina para o Nimda, entrava em circulação na rede o FixNimda, uma variante do verme com a extensão mudada, que se oferecia por e-mail como ferramenta de desinfecção. Já o cavalo-de-tróia Septer.Trojan, capturado em outubro, usava o nome da Cruz Vermelha para tomar dinheiro das boas almas que se dispunham a dar o número de seu cartão de crédito para ajudar as vítimas dos atentados nos Estados Unidos. Quem acreditou se ferrou. E muitos que tinham antivírus, também.

Mesmo os usuários que costumam fazer a atualização semanal mínima recomendável do programa antivírus são pegos no contrapé. Foi o caso do antropólogo paulistano Rinaldo Arruda, 49 anos, que teve de formatar o disco rígido do micro depois que seu filho adolescente baixou da web um vídeo, digamos, adulto, infectado. O vírus foi mais rápido do que seu protetor de atualização automática. Isso se deve, em parte, à tecnologia de detecção por assinatura - se conferir com sua lista, o antivírus pega. Se não, passa lotado. Vários desses programas combinam assinatura com heurística, permitindo a captura de arquivos suspeitos, mas não são 100% eficientes. No combate às novas pragas, dependendo de sua complexidade, as empresas produtoras de software antivírus conseguem fazer vacina num prazo de dez minutos a duas ou três horas, segundo Roni Katz, engenheiro da McAfee no Brasil. O problema é que a velocidade de propagação dos vermes que se auto-enviam pela lista de endereços do programa de correio eletrônico é maior.

Uma das formas de cercar o que o antivírus não pega é estar atento para as correções de vulnerabilidades do sistema operacional e de outros softwares da Microsoft, disponíveis no site da empresa (www.microsoft.com). No caso do usuário doméstico, significa manter o programa antivírus atualizado, de preferência com mecanismo de atualização automática. A verificação de vulnerabilidades pode ser feita online, em serviços gratuitos (veja quadro na página 56). Manter-se informado sobre o que acontece no cibermundo pode salvar sua pele. O Plantão INFO é, modéstia à parte, uma ótima fonte sobre as pragas digitais. No mês passado, 13 das 21 notícias mais vistas pelos internautas no nosso endereço eram relativas a vírus e formas de proteção relacionadas. As empresas de software são outras boas fontes de informação. Todo santo dia as produtoras de antivírus distribuem relatórios por e-mail a quem os requisitar, avisando sobre novas pragas, formas de combate e vacinas. Hábito de fazer backup e guardar em mídias fora do micro é básico. Firewall pessoal não pode faltar nos PCs conectados à web em banda larga - o IP fixo dá resposta mais rápida ao hacker que está testando portas abertas. E, por fim, adote a desconfiança geral e irrestrita. Desconfie dos arquivos anexados aos e-mails, que podem conter vírus. Se a curiosidade for grande, salve o arquivo em disco, rode o antivírus e só depois abra. Desconfie das mensagens estranhas enviadas por conhecidos. Elas podem ter sido disparadas por vermes que se replicam por meio da lista de endereços dos remetentes.

Quem tem dispositivos móveis também precisa ficar ligado. O vírus Liberty Crack ataca o Palm, apagando os arquivos durante a sincronização com o PC. Os telefones celulares são os próximos da lista. Ainda não possuem processadores e sistema operacional capazes de rodar um vírus, mas estão caminhando para abrigar sistemas Java. Por enquanto, só os celulares que se conectam à internet para baixar toques de campainha ou animações oferecem algum risco.

Para as empresas, uma política de segurança é fundamental. Deve começar com a criação de um grupo que se dedique a essa função em tempo integral, instalar firewall na rede e mantê-lo bem configurado, fazer testes periódicos, estabelecer os limites de uso dos funcionários e pôr em prática um programa de conscientização. "O funcionário precisa saber o risco a que expõe a rede ao introduzir um disquete infectado. É preciso abolir as bobagens de e-mail, piadinhas e fotos", sugere Katz, da McAfee. Auditorias surpresa e rankings dos usuários mais infectados ajudam a pôr os rebeldes nos eixos. Alexandre Vargas, gerente-geral da Módulo Security Solutions, defende ações similares, mas é cético quanto à adoção: "Há vulnerabilidades de mais de cinco anos ainda não corrigidas nas empresas".

O bombardeio de vírus tem sido bastante eficiente. Nos Estados Unidos, 90% das empresas foram infectadas este ano, embora 88% delas tivessem proteção antivírus, segundo pesquisa realizada em agosto pela revista americana Information Security com 2 545 profissionais de segurança. Code Red e Nimda foram os vilões da maior parte do aumento de 60% nas tentativas de acesso não-autorizado às redes americanas de janeiro a setembro em relação a 2000 todo, segundo o Computer Emergency Response Team.

No Brasil, a situação não é muito diferente, embora menos precisa. No primeiro semestre, 40% das grandes empresas ouvidas pela Módulo admitiram ter sofrido algum tipo de ataque - outros 31% não souberam responder. Os antivírus estão presentes em 78% delas, mas não as tranqüilizam: para 42%, os vírus são a terceira maior ameaça à segurança das suas redes, perdendo apenas para funcionários insatisfeitos (53%) e acessos indevidos (45%).

Os prejuízos com a perda de dados e de produtividade somados aos custos de limpeza e correção dos sistemas infectados são enormes. A Computer Economics calcula que Nimda, Code Red e o vírus SirCam, que atacou em julho, tiveram juntos um impacto econômico de 4,2 bilhões de dólares no mundo todo. Caso o Nimda possuísse algum componente destrutivo, as perdas provocadas em sua passagem por 8,3 milhões de computadores, calculadas em 590 milhões de dólares, teriam chegado facilmente a 6 bilhões de dólares.

De longe o mais vulnerável dos produtos da Microsoft, o servidor web IIS não teve sossego nos últimos meses. Os ataques de Code Red, Nimda e outros bombardeiros de e-mail que exploravam suas falhas fizeram mais de 150 mil sites sumir do cibermapa temporariamente, segundo relatório da Netcraft divulgado em outubro. O estrago foi tal que o instituto de pesquisas Gartner aconselhou as empresas usuárias de IIS a considerar a possibilidade de substituí-lo por outro mais seguro, como o iPlanet, da Sun, e o confiabilíssimo software livre Apache.

Mas será que a Microsoft não sabe fazer software seguro? Na avaliação de John Pescatore, analista do Gartner nos Estados Unidos, o problema tem duas partes. Primeira, o fato de a Microsoft projetar produtos para servidores com a mesma concepção dos desktops, privilegiando a facilidade de uso em detrimento da proteção. Segunda, a configuração da instalação-padrão, que deixa todas as funções disponíveis para o usuário desabilitar, quando deveria ocorrer o contrário. Também faltariam testes em condições anormais de uso, feitos por especialistas independentes, antes de o programa ser lançado.

Mas por que cargas d'água as empresas insistem em lidar com um servidor web tão cheio de brechas que já chegou a apresentar cinco boletins de correção num mesmo dia? Entre outras coisas, porque vem junto com o sistema operacional, é mais fácil de configurar, tem várias funcionalidades e há mais gente treinada para trabalhar com ele. Já o Apache, embora reconhecidamente mais estável e enxuto, requer bons programadores para domá-lo. E há o fator custo e a complexidade da operação de troca de servidor. "Uma empresa precisa pensar em todos os softwares que ela utiliza. Como o foco da Microsoft é a integração, será necessário avaliar bem o impacto da mudança", diz Vargas, da Módulo. Aos que não querem ou não podem substituir o IIS, Pescatore recomenda acrescentar um software de detecção de intrusos. Essa e outras saídas técnicas resolvem problemas isolados. Para os especialistas em segurança, é mais importante ter uma atitude preventiva. E esperar que não surjam mais terroristas digitais por aí.