Como os antivírus funcionam de verdade
Antivírus não é mágica nem lista de vírus conhecidos. Entender como ele decide o que é ameaça ajuda a usar melhor e a não depender só dele.
Detecção por assinatura: o método clássico
É a técnica mais antiga e ainda em uso. Cada arquivo malicioso conhecido tem trechos característicos no seu código. O antivírus calcula identificadores desses trechos e mantém um enorme banco de dados de assinaturas. Ao examinar um arquivo, compara com a base: se bate, bloqueia.
Vantagem: é rápido e praticamente não gera alarme falso. Se bateu com a assinatura, é aquilo mesmo.
Limitação: só reconhece o que já foi catalogado. Uma ameaça nova, ou uma variante ligeiramente modificada da antiga, passa despercebida. E é exatamente isso que os criadores de malware fazem: alteram o código automaticamente a cada distribuição para gerar assinaturas diferentes.
É por isso que manter o antivírus atualizado importa tanto: a base de assinaturas muda várias vezes por dia.
Heurística: procurar por características suspeitas
Para cobrir o que a assinatura não pega, entra a análise heurística. Em vez de perguntar "esse arquivo é igual a algum vírus conhecido?", ela pergunta "esse arquivo se parece com um vírus?".
O antivírus examina a estrutura do programa em busca de padrões típicos de código malicioso: instruções para se copiar para outros arquivos, tentativas de ocultar o próprio código, funções de criptografia usadas de forma incomum, comandos para se registrar na inicialização do sistema.
Vantagem: detecta ameaças novas, nunca vistas antes.
Limitação: gera falsos positivos. Programas legítimos que fazem coisas incomuns, como instaladores, utilitários de sistema e alguns jogos, às vezes são sinalizados por engano.
Análise de comportamento: observar em tempo real
Esta é hoje a camada mais importante. Em vez de analisar o arquivo parado, o antivírus monitora o que os programas fazem enquanto rodam. Certas ações disparam alerta imediato:
- Começar a criptografar muitos arquivos em sequência, comportamento clássico de ransomware.
- Tentar modificar áreas protegidas do sistema.
- Injetar código em outro processo em execução.
- Abrir conexão com endereços associados a servidores de controle.
- Registrar tudo o que é digitado.
O grande mérito dessa abordagem é que ela não depende de conhecer a ameaça. Não importa se o ransomware é novo: o comportamento de criptografar centenas de arquivos é o mesmo, e é isso que se detecta.
A análise de comportamento costuma interromper o ransomware depois que ele já criptografou alguns arquivos. A detecção acontece justamente porque a ação começou. Sem um backup que não esteja conectado ao computador, ainda há perda.
Nuvem e sandbox
Os antivírus modernos deixaram de trabalhar isolados. Quando encontram um arquivo desconhecido, enviam um identificador dele para a nuvem do fabricante, que responde em milissegundos com base no que já observou em milhões de outras máquinas. Um arquivo visto pela primeira vez no mundo hoje é tratado com muito mais desconfiança que um presente em milhões de computadores há anos.
Complementarmente, existe a sandbox: um ambiente isolado onde o arquivo suspeito é executado para observação. Se ele se comporta mal ali dentro, é bloqueado antes de tocar o sistema real. Nada do que ele faz na sandbox afeta o seu notebook.
Por que nenhum antivírus pega 100%
Essa é a parte que a publicidade não conta:
- Existe uma janela de exposição. Entre o surgimento de uma ameaça e sua catalogação passa um tempo, às vezes horas, às vezes dias.
- Malware é feito para escapar. Existem técnicas específicas para detectar que se está dentro de uma sandbox e ficar inofensivo até sair dela.
- O elo mais fraco não é técnico. Se você baixa um programa pirata, desativa o antivírus porque ele reclamou e executa mesmo assim, nenhuma proteção resolve. A maioria das infecções que vemos na bancada teve autorização do usuário.
- Golpe não é vírus. Um site falso de banco que pede sua senha não contém código malicioso. Não há o que o antivírus detecte ali.
Qual antivírus usar
Nossa recomendação, baseada no que atendemos:
Para a maioria dos usuários: o Windows Defender basta
O antivírus que já vem no Windows evoluiu muito e hoje tem todas as camadas descritas acima. Ele é gratuito, atualiza sozinho, integra-se ao sistema e, principalmente, não pesa e não fica pedindo para você comprar a versão completa. Para uso doméstico e de escritório com bom senso, é suficiente.
Quando faz sentido pagar
- Ambiente corporativo com necessidade de gestão centralizada e relatórios.
- Perfis de risco maior, como quem lida com muitos anexos de remetentes desconhecidos.
- Necessidade de recursos extras integrados, como VPN e gerenciador de senhas.
Eles disputam o mesmo acesso aos arquivos, um identifica o outro como suspeito e o resultado é lentidão severa, travamento e, frequentemente, proteção pior do que com apenas um. Ao instalar um antivírus de terceiros, o Defender se desativa sozinho, e é assim que deve ser.
Um alerta que vale repetir: fuja de "antivírus" que aparecem em anúncio de site avisando que seu computador está infectado. Esse é um dos vetores de infecção mais comuns que recebemos, e o programa que você instala é o próprio problema.
Perguntas frequentes
O Windows Defender é suficiente?
Para a maioria dos usuários domésticos e de escritório, sim. Ele inclui detecção por assinatura, heurística, análise de comportamento e verificação em nuvem, atualiza sozinho e não pesa no sistema. Antivírus pago faz mais sentido em ambiente corporativo ou perfis de risco elevado.
Posso usar dois antivírus para ficar mais protegido?
Não. Dois antivírus com proteção em tempo real disputam acesso aos mesmos arquivos, um enxerga o outro como ameaça e o resultado é lentidão e instabilidade, com proteção pior do que usando apenas um.
Antivírus deixa o notebook lento?
Um antivírus moderno bem configurado tem impacto pequeno. Lentidão severa costuma vir de dois antivírus instalados juntos, de suítes cheias de módulos extras ou de programas falsos que se apresentam como antivírus.
Antivírus protege contra golpes e sites falsos?
Parcialmente. Muitos bloqueiam endereços conhecidos de phishing, mas um site falso recém-criado que apenas pede sua senha não contém código malicioso a ser detectado. Contra esse tipo de golpe, a defesa é a atenção do usuário e o uso de autenticação em duas etapas.
Fazemos verificação completa, remoção de ameaças e formatação com backup dos seus arquivos quando necessário.