Um comportamento frequentemente observado em vírus de outros países agora também é característico dos códigos maliciosos nacionais. O
ARIS-LD, grupo de análise de vírus da Linha Defensiva, detectou um ladrão de senhas bancárias brasileiro que tenta eliminar outros vírus quer roubam senhas de banco, com o intuito de garantir que os dados capturados não sejam também enviados e usados por outros criminosos “concorrentes”. A remoção dos vírus concorrentes ocorre juntamente com a tentativa de desativar softwares de segurança, como os plugins instalados pelos bancos. No caso de dois ladrões de senha mantidos por grupos criminosos distintos roubarem a mesma informação, o que demorar mais para utilizá-la encontrará uma conta bancária já vazia.
Esse comportamento é comum em várias outras pragas digitais. A Linha Defensiva noticiou em 2006 casos em que códigos maliciosos chegaram a instalar os antivírus
Kaspersky e
Dr. Web para garantir que a única infecção presente no computador era a do próprio vírus. Para não serem removidas pelos antivírus, as pragas adicionavam-se na lista de “arquivos ignorados” dos programas.
É a primeira vez, no entanto, que esse comportamento é observado em vírus de origem brasileira, normalmente destinados ao roubo de senhas bancárias.
Só para brasileiros
O vírus “anticompetitivo” analisado pelo ARIS-LD tem como alvo exclusivamente os brasileiros. O link de download da praga determina a nacionalidade da vítima pelo endereço IP — um processo normalmente chamado de GeoIP. Se o internauta não for brasileiro, é exibida uma foto inofensiva com garotas de biquíni.
O ARIS-LD tem um colaborador brasileiro que reside na Bulgária. A técnica dos criminosos foi descoberta quando este colaborador não conseguiu baixar os vírus presentes nos links
enviados por internautas.
O principal objetivo dessa restrição é precisamente dificultar a análise da praga digital. Pesquisadores antivírus que residem em outros países precisarão usar um computador brasileiro como intermediário para conseguir baixar e analisar o vírus. Se a nacionalidade da praga não puder ser determinada pelo golpe, ou se o pesquisador não reconhecer imediatamente o uso de GeoIP, o vírus poderá continuar agindo livremente, já que o especialista não irá desconfiar da presença de um código malicioso.
