Uma ferramenta gratuita e de código aberto chamada Zero Breach Toolkit está a circular como um scanner para spyware mercenário. Uma análise no Beam Blog leu o seu código e documentação e propôs-se cobrir três coisas: o que a ferramenta verifica, quais das alegações virais se confirmam e como a verificar. Este artigo baseia-se nesse enquadramento, mas é importante ser claro quanto ao âmbito. A fonte que temos é um resumo curto dessa análise, não as conclusões completas. Onde este artigo vai além desse resumo, oferece orientação geral e diz-o.
A questão mais ampla importa mais do que qualquer ferramenta individual. Compreender as limitações dos scanners de spyware mercenário ajuda-o a decidir quanta importância dar a um resultado, quer indique "limpo" ou não.
O que o Zero Breach Toolkit verifica realmente
De acordo com o resumo do Beam Blog, o Zero Breach Toolkit é um scanner gratuito e de código aberto direcionado a spyware mercenário. Os revisores examinaram o seu código e a sua documentação, que é o lugar certo para começar: o comportamento real de um scanner reside no que o código faz, não na forma como uma publicação nas redes sociais o descreve.
O resumo não lista as verificações específicas que o toolkit realiza, por isso não vamos adivinhá-las. Para a lista exata de indicadores, fontes de dados e plataformas suportadas, os leitores devem consultar a documentação da própria ferramenta e a análise completa do Beam Blog. O que o modelo de código aberto lhe dá é a capacidade de ver essas verificações por si mesmo, ou de confiar em outros que as inspecionaram.
Alegações virais versus o que o código verifica
A análise do Beam Blog está explicitamente estruturada em torno de separar o que as alegações virais acertam do que não acertam. Esse é um hábito útil para qualquer ferramenta que se espalha rapidamente. A popularidade não é evidência, e uma alegação confiante numa publicação ou vídeo não é o mesmo que um comportamento demonstrado no código-fonte.
Quando vê uma ferramenta de segurança descrita em termos abrangentes, faça uma pergunta simples: cada alegação pode ser rastreada até algo no código ou na documentação? Alegações como "deteta todo o spyware" ou "prova que o seu telemóvel está seguro" são sinais de alerta para qualquer scanner, porque as ferramentas de deteção geralmente funcionam procurando sinais conhecidos, e isso tem limitações inerentes. Não podemos dizer-lhe, a partir do resumo da fonte, quais alegações específicas sobre o Zero Breach Toolkit foram confirmadas ou rejeitadas, por isso consulte a análise completa para esse detalhe.
O que os scanners de spyware não conseguem detetar
Esta secção é contexto geral e não uma conclusão da análise do Beam Blog. Scanners deste tipo normalmente procuram evidências que já conhecem, como ficheiros específicos, processos, indicadores de rede ou vestígios deixados em registos. Essa abordagem tem limitações previsíveis:
- Técnicas desconhecidas ou novas. Se uma ferramenta não tem um indicador para uma ameaça, não a consegue sinalizar.
- Vestígios que nunca foram registados ou que foram removidos. Uma verificação só pode examinar o que está disponível no dispositivo ou nos dados que lhe fornece.
- Resultados com excesso de confiança. Uma mensagem de "sem resultados" significa que a ferramenta não encontrou nada que saiba procurar, não que não haja nada.
A lição prática é que uma verificação limpa é evidência limitada, não prova de segurança. Da mesma forma, um resultado positivo merece um acompanhamento cuidadoso com especialistas qualificados em vez de pânico.
Uma lista de verificação para avaliar ferramentas de segurança antes de as executar
A análise do Beam Blog propõe-se mostrar como avaliar o toolkit. A lista de verificação abaixo é a nossa orientação geral, útil para qualquer scanner que encontre online:
- Leia ou encontre uma análise do código-fonte. O código aberto só ajuda se alguém inspecionar realmente o código. Procure análises independentes, não apenas a descrição do próprio projeto.
- Verifique os mantenedores. Quem o publica? Existe um histórico de atualizações, acompanhamento de problemas e respostas a perguntas?
- Examine as permissões. Desconfie de qualquer ferramenta que peça acesso amplo que claramente não necessita. Compreenda que dados lê e se algo sai do seu dispositivo.
- Procure resultados reproduzíveis. Uma ferramenta fiável deve produzir resultados consistentes e explicáveis, e a sua documentação deve indicar o que significa cada resultado.
- Descarregue da fonte oficial. As imitações de ferramentas populares são uma forma comum de distribuir software malicioso. Os operadores de ransomware, por exemplo, dependem de ferramentas concebidas especificamente para o efeito, como se vê no utilitário de evasão de defesas GentleKiller usado pelo grupo de ransomware The Gentlemen. Um falso "scanner de segurança" pode ser igualmente prejudicial.
O que isto significa para si
A maioria das pessoas não é alvo de spyware mercenário, mas a curiosidade sobre estas ferramentas é compreensível, e um scanner gratuito de código aberto pode ser uma parte razoável de uma revisão mais ampla se o tratar com cuidado. Antes de executar qualquer coisa, aplique a lista de verificação acima. Leia o que os revisores independentes concluíram e mantenha expectativas realistas sobre o que qualquer scanner lhe pode dizer.
Se tem motivos genuínos para acreditar que está a ser alvo, um scanner é um ponto de partida, não um substituto para a ajuda de profissionais de segurança experientes.
Principais conclusões
- Avalie qualquer scanner de spyware antes de o executar: reveja o código-fonte, os mantenedores, as permissões e se os resultados são reproduzíveis.
- Separe as alegações virais do que o código e a documentação realmente mostram.
- Lembre-se das principais limitações dos scanners de spyware mercenário: um scanner encontra o que sabe procurar, por isso uma verificação limpa é evidência limitada, não prova de que o seu dispositivo está seguro.
- Leia a análise completa do Beam Blog sobre o Zero Breach Toolkit e a documentação da própria ferramenta para conhecer as verificações específicas que realiza.
Uma abordagem cuidadosa e cética protege-o melhor do que qualquer ferramenta individual, por mais popular que se torne.
