Win32/VB

É uma detecção de malware escrita na linguagem de programação Visual Basic. Alguns recursos que os códigos maliciosos desta assinatura compartilham é que eles funcionam como porta dos fundos e podem ser controlados remotamente, além de executar ações intrusivas para obter persistência. Esses códigos coletam informações, capturam o teclado e podem enviar as informações para um computador remoto.

Win32/Ramnit

Possui características de um vírus e um worm (que se replica para outros computadores). Ele se espalha através de dispositivos USB e outras unidades removíveis; também pode infectar o setor de inicialização no início de dispositivos, chamado de Master Boot Record (MBR), para garantir sua persistência. Infecta arquivos executáveis e arquivos HTM/HTML, o que aumenta seus recursos de propagação. O Ramnit é usado principalmente para roubar dados confidenciais bancários.

Win32/Exploit.CVE-2012-0143

Corresponde ao exploit (pedaço de software) usado para explorar a vulnerabilidade associada à corrupção no gerenciamento de memória dos aplicativos Microsoft Excel 2003 SP3 e Office 2008, o que permite a execução remota de código. A exploração foi iniciada pelo grupo de cibercriminosos conhecido como ShadowBrokers.

Win32/TrojanDownloader.Zurgop

É a detecção de um cavalo de Troia que tenta baixar outro código malicioso da internet. Uma vez executado no sistema, ele faz uma cópia de si e cria chaves do registro para serem executadas em todas as inicializações do sistema. O trojan detecta se os aplicativos de segurança estão em execução no sistema e coleta informações. Ele baixa arquivos de computadores remotos, executa-os e pode ser atualizado para uma nova versão.

Win32/Spy.ClientMaximus

É um trojan bancário que se camufla como uma DLL (biblioteca de link dinâmica) usada por programas legítimos. O código malicioso monitora as atividades da vítima ao acessar sites bancários. Mesmo que o infrator não tenha armazenado dados de acesso ou sessão (período de atividade de um usuário no sistema) pode manter uma sessão com o banco através da vítima ou pode esperar até que outra transação seja feita em um dos sites monitorados para obter mais informações.

Win32/Spy.Guildma

O Guildma é um trojan bancário escrito em Delphi que busca informações confidenciais, principalmente bancárias. Funciona como uma porta dos fundos, pois executa comandos enviados a partir de computadores remotos. Utiliza longas cadeias de distribuição para infectar equipamentos e técnicas de Engenharia Social. Além disso, é composto de vários componentes, até mesmo de ferramentas e softwares legítimos do sistema operacional.

Win32/GenKryptik

É uma assinatura genérica para identificar códigos maliciosos que usam técnicas de ofuscação e proteção de código; podem ser diferentes tipos de malware que dificultam a análise. Por exemplo, essas técnicas incluem ofuscação, anti-depuração, anti-VM ou anti-emulação.

Anti-depuração é conjunto de técnicas para detectar e impedir o ato de depuração. Isso impede que os invasores executem aplicativos dinamicamente, tentando entender como eles funcionam e alterando o comportamento de determinados recursos ou verificações dentro do aplicativo.

A virtual machine (VM) é um modelo de virtualização que particiona um computador em várias imagens simuladas, ou seja, possibilita que o usuário acesse uma simulação de computador dentro de outro. Os autores de malware aproveitam essa "falha de design". Eles codificam o malware para detectar arquivos de configuração da máquina virtual, executáveis, entradas do registro ou outros indicadores para manipular seu fluxo de execução original. Esse comportamento é conhecido como "Anti-Sandbox" ou "Anti-VM".

Anti-emulação é um emulador - é um software que reproduz as funções de um determinado ambiente, a fim de permitir a execução de outros softwares sobre ele. A estratégia dos criminosos é fazer com que a execução dos softwares legítimos não ocorra.

JS/Bondat

É um worm (replica-se para outros computadores) escrito em JavaScript que funciona como um vetor de infecção inicial; depois, ele baixa outros arquivos maliciosos que podem executar várias ações maliciosas. É propagado através de mídia removível usando a técnica LNK (tipo de ameaça relacionada a redirecionadores para outros sites). Quando os usuários clicam nos arquivos LNK, o malware executa suas ações ofensivas, além de abrir o arquivo original inofensivo correspondente.

Win32/Agent

É uma assinatura usada para identificar malware usado para distribuição de spam, com mensagens que dependem das informações que o código malicioso baixa da internet. Também é responsável por coletar informações do sistema operacional e endereços de e-mail, que mais tarde tenta enviar para um computador remoto.

Win32/Packed

É uma assinatura genérica para identificar o código malicioso que está empacotado. Pode ser qualquer tipo de malware que foi encapsulado principalmente para proteger o código e tentar fugir das soluções de segurança. Eles procuram ocultar sua presença de soluções antimalware e impedir que o código seja verificado.

Ransomware

São códigos que sequestram informações de dispositivos. A família de ransomware Crysis ocupa o primeiro lugar com o maior percentual de detecção (38,9%) no Brasil durante o segundo trimestre de 2020 (Q2), seguida pela detecção identificada como Filecoder.XXX (18,5%) e WannaCryptor (10,1%), mais conhecido como WannaCry. A família STOP está na quarta posição (7%) e a família Phobos está na quinta posição (6%).

FONTE: ESET