Você baixou um programa, tentou executá-lo e o Windows exibiu um alerta de segurança?
Isso não significa necessariamente que o programa seja um vírus.
Softwares legítimos podem, em determinadas circunstâncias, ser classificados por mecanismos de segurança como aplicativo desconhecido, potencialmente indesejado, ferramenta de acesso remoto ou software de risco.
Isso acontece especialmente com programas que possuem características que também são utilizadas por softwares maliciosos, como:
- acesso remoto ao computador;
- execução de serviços em segundo plano;
- comunicação pela rede;
- instalação de componentes;
- execução automática com o Windows;
- alteração de configurações;
- utilização de privilégios administrativos;
- controle ou administração de outro computador.
Um exemplo são as ferramentas de acesso e suporte remoto.
Um agente remoto legítimo precisa justamente possuir recursos que permitam estabelecer uma conexão com outro computador. Essas mesmas características podem ser exploradas por criminosos em ataques.
Por isso, uma detecção de segurança não deve ser interpretada isoladamente como prova de que um programa é malicioso.
Neste artigo, você aprenderá como avaliar um programa desconhecido ou bloqueado pelo Windows 11 e, quando necessário, testá-lo em um ambiente isolado utilizando a Área Restrita do Windows (Windows Sandbox).
Importante: VBS e Windows Sandbox não são a mesma coisa. A VBS (Virtualization-Based Security) é uma tecnologia de segurança baseada em virtualização. A Área Restrita do Windows é um ambiente isolado e temporário para executar aplicativos, utilizando recursos de virtualização e o hipervisor do Windows.
Um alerta do Windows significa que o programa é um vírus? #
Não necessariamente.
Essa é uma das primeiras distinções que precisamos fazer.
Um mecanismo de segurança pode bloquear ou alertar sobre um arquivo por diferentes motivos.
Por exemplo, o sistema pode identificar:
Malware
Código desenvolvido para causar dano, obter acesso indevido, roubar informações ou executar ações maliciosas.
Aplicativo potencialmente indesejado (PUA)
Programa que pode apresentar características consideradas indesejáveis, mesmo que não seja necessariamente um malware.
Aplicativo desconhecido
Arquivo cuja reputação ou origem não é suficientemente conhecida pelo mecanismo de segurança.
Software de acesso remoto
Aplicativo capaz de permitir que outra pessoa controle ou administre o computador remotamente.
Detecção heurística
Identificação baseada em características e comportamentos que se parecem com os de uma ameaça conhecida.
Essas categorias são diferentes.
Portanto:
“Foi detectado pelo antivírus” não significa automaticamente “é um vírus”.
É necessário analisar o que foi detectado, por qual mecanismo, qual foi a classificação e qual é a origem do software.
Por que programas legítimos de acesso remoto podem gerar alertas? #
Esse é um ponto especialmente importante.
Ferramentas de acesso remoto possuem funcionalidades que, quando utilizadas de forma maliciosa, também podem ser exploradas por invasores.
Um agente remoto legítimo pode precisar:
- iniciar junto com o Windows;
- executar como serviço;
- estabelecer conexões de saída;
- receber comandos;
- transferir arquivos;
- acessar informações do computador;
- permitir administração remota;
- funcionar sem que o usuário esteja interagindo diretamente com a tela.
Essas características são necessárias para uma ferramenta profissional de suporte remoto.
Por outro lado, um malware também pode tentar utilizar técnicas semelhantes.
Por isso, algumas soluções de segurança adotam uma postura preventiva e podem classificar determinados softwares de acesso remoto como riskware, PUA ou remote administration tool, dependendo da política e do contexto.
Isso não significa que todos esses programas sejam maliciosos.
Significa que a capacidade do software merece atenção.
Um exemplo: agentes remotos legítimos #
Imagine que uma empresa utilize uma plataforma profissional de suporte remoto, como o Master Remote.
O agente instalado no computador do cliente pode precisar permanecer em execução para permitir que um técnico autorizado realize suporte posteriormente.
Para isso, o agente pode possuir características como:
- comunicação com servidores;
- execução em segundo plano;
- inicialização automática;
- estabelecimento de conexões remotas;
- identificação do dispositivo;
- transferência de informações necessárias ao suporte.
Do ponto de vista técnico, essas características são esperadas em uma solução de acesso remoto.
Porém, do ponto de vista de um mecanismo de segurança que analisa apenas determinados comportamentos ou características, elas também podem se parecer com comportamentos encontrados em ferramentas utilizadas indevidamente.
Por isso, a classificação de um software precisa ser interpretada dentro do contexto.
Antes de concluir que um agente remoto é malicioso, verifique:
- qual é o fabricante;
- de onde o arquivo foi obtido;
- se o download veio do site oficial;
- qual é a assinatura digital;
- qual é a detecção apresentada;
- qual produto de segurança realizou a detecção;
- qual arquivo foi identificado;
- qual é o comportamento esperado do software.
Primeiro passo: descubra exatamente o que foi detectado #
Antes de tentar executar ou instalar o programa, identifique o alerta.
Não basta dizer:
“O antivírus bloqueou.”
Procure descobrir:
Qual antivírus ou mecanismo realizou a detecção?
Qual é o nome da ameaça?
Qual é o arquivo detectado?
Qual é o caminho do arquivo?
Qual é a classificação?
Por exemplo, existe uma diferença significativa entre uma detecção identificada como:
Trojan
e uma classificação como:
PUA
ou:
Remote Administration Tool
ou:
Unrecognized application
São situações diferentes e devem ser investigadas de maneiras diferentes.
Verifique a origem do programa #
A origem do arquivo é um dos fatores mais importantes.
Pergunte:
De onde esse programa foi baixado?
Existe uma diferença enorme entre:
- site oficial do fabricante;
- loja oficial;
- repositório oficial;
- link enviado por um fornecedor conhecido;
- site de terceiros;
- site de downloads desconhecido;
- arquivo recebido por e-mail;
- arquivo enviado por alguém sem identificação.
Se o programa foi obtido diretamente do fabricante, isso é uma informação relevante para a análise.
Se foi baixado de uma fonte desconhecida, o nível de cautela deve ser maior.
Verifique a assinatura digital #
No Windows, você pode verificar se um arquivo possui assinatura digital.
Clique com o botão direito no arquivo e selecione:
Propriedades
Depois procure a aba:
Assinaturas Digitais
Quando disponível, essa informação permite verificar quem assinou o arquivo e se a assinatura é válida.
Uma assinatura digital válida não significa que o programa seja automaticamente seguro.
Porém, ela fornece uma informação importante sobre a autenticidade e a origem do arquivo.
Da mesma forma, a ausência de assinatura não prova, sozinha, que um arquivo seja malicioso.
Não desative o antivírus para “ver se funciona” #
Essa é uma recomendação importante.
Se o Windows ou uma solução de segurança bloqueou um programa, não comece desativando a proteção.
Evite:
- desativar o Microsoft Defender;
- desativar o Firewall;
- desativar o SmartScreen;
- criar uma exclusão no antivírus;
- desativar o UAC;
- executar o arquivo como administrador sem necessidade.
Essas ações podem eliminar justamente as barreiras que deveriam proteger o computador durante a investigação.
Primeiro descubra por que o programa foi bloqueado.
E se o programa for legítimo, mas estiver sendo bloqueado? #
Nesse caso, o procedimento é diferente.
Se você confirmou que:
- o fabricante é legítimo;
- o arquivo foi obtido de uma fonte confiável;
- a assinatura corresponde ao fabricante;
- a versão é conhecida;
- o comportamento esperado é compatível com o programa;
pode existir uma situação de detecção incorreta ou classificação preventiva.
Isso pode acontecer especialmente com ferramentas administrativas, utilitários de sistema e softwares de acesso remoto.
Nesse cenário, a solução não deve ser simplesmente desligar todas as proteções.
O ideal é:
- identificar exatamente a detecção;
- confirmar a legitimidade do software;
- verificar se existe uma versão mais recente;
- consultar a documentação do fabricante;
- verificar se o fabricante possui orientação específica para aquela detecção;
- avaliar o alerta junto ao fornecedor da solução de segurança.
Quando utilizar o Windows Sandbox? #
Se você ainda não tem certeza sobre o comportamento do programa, uma alternativa é testá-lo em um ambiente isolado.
No Windows 11, uma das opções disponíveis é a:
Área Restrita do Windows (Windows Sandbox) #
Ela cria um ambiente temporário e isolado no qual você pode executar um aplicativo sem instalá-lo diretamente no Windows principal.
Quando a Área Restrita é encerrada, o ambiente é descartado.
A Microsoft define o Windows Sandbox como um ambiente leve e isolado para executar aplicativos com segurança. (Microsoft Learn)
VBS e Windows Sandbox são a mesma coisa? #
Não. Essa confusão é bastante comum.
- VBS — Virtualization-Based Security – É uma tecnologia de segurança do Windows que utiliza virtualização para proteger determinadas partes do sistema.
- Windows Sandbox – É um ambiente temporário e isolado destinado à execução de aplicativos.
Os dois utilizam tecnologias de virtualização, mas possuem finalidades diferentes.
A VBS é uma tecnologia de proteção.
O Sandbox é uma ferramenta que pode ser utilizada para isolar testes.
Como funciona o Sandbox? #
Uma forma simples de entender é imaginar que você possui dois ambientes:
Windows principal
É o sistema que você utiliza diariamente.
Windows Sandbox
É um ambiente temporário criado para o teste.
Você coloca o programa que deseja investigar no segundo ambiente e o executa ali.
Se o aplicativo criar arquivos, alterar configurações ou instalar componentes dentro do Sandbox, essas alterações ficam associadas àquela instância do ambiente.
Ao fechar o Sandbox, o ambiente é descartado.
Na próxima vez que você abrir o Sandbox, terá novamente um ambiente limpo.
Como ativar o Windows Sandbox #
Pressione:
Windows + R
Digite:
optionalfeatures
Pressione Enter.
Será aberta a janela:
Recursos do Windows
Procure por:
Área Restrita do Windows
Marque a opção e clique em:
OK
O Windows instalará os componentes necessários.
Pode ser necessário reiniciar o computador.
A disponibilidade do recurso depende da edição e da configuração do Windows. Consulte a documentação atual da Microsoft para verificar os requisitos da sua versão. (Microsoft Learn)
Como testar um programa dentro do Sandbox #
Depois de ativar o recurso:
- Abra o menu Iniciar.
- Procure por Área Restrita do Windows.
- Abra o aplicativo.
- Aguarde a criação do ambiente.
- Transfira somente o arquivo necessário.
- Execute o programa dentro do Sandbox.
- Observe seu comportamento.
Evite utilizar documentos pessoais ou informações confidenciais durante o teste.
Cuidado: o Sandbox possui integração com o computador principal #
O Windows Sandbox não deve ser tratado como uma caixa completamente desconectada por padrão.
Dependendo da configuração, determinados recursos podem permitir integração com o sistema principal.
Entre eles estão:
- rede;
- área de transferência;
- pastas compartilhadas;
- outros recursos do host.
A Microsoft permite configurar esses recursos utilizando arquivos .wsb. (Microsoft Learn)
Quanto mais recursos você compartilhar com o Sandbox, maior será a integração entre o ambiente de teste e o computador principal.
Para programas realmente suspeitos, reduza a integração #
Se você estiver testando um programa que realmente considera perigoso, não disponibilize desnecessariamente:
- documentos pessoais;
- pastas de trabalho;
- unidades de armazenamento;
- credenciais;
- impressoras;
- recursos corporativos;
- acesso à rede.
Se o programa não precisa de internet para o teste, considere utilizar uma configuração do Sandbox sem rede.
A Microsoft documenta essa possibilidade justamente para reduzir a exposição de aplicativos não confiáveis à rede. (Microsoft Learn)
Mas atenção: programas legítimos de acesso remoto podem precisar da rede #
Aqui existe uma diferença importante.
Se você estiver testando um programa de acesso remoto legítimo, como um agente utilizado para suporte técnico, a comunicação pela rede pode ser justamente uma das funções que você deseja testar.
Nesse caso, desativar a rede fará com que determinadas funcionalidades não funcionem.
Por exemplo, um agente remoto pode precisar acessar seus servidores para:
- autenticar o dispositivo;
- estabelecer uma sessão;
- verificar sua configuração;
- receber comandos;
- enviar informações de diagnóstico;
- permitir a conexão do técnico.
Portanto, não confunda “o programa utiliza a rede” com “o programa é malicioso”.
A pergunta correta é:
O uso da rede é compatível com a finalidade declarada do programa?
Para uma ferramenta de acesso remoto, a resposta normalmente será sim.
O que observar durante o teste? #
O objetivo não é simplesmente verificar se o programa abre.
Observe se ele apresenta comportamentos coerentes com sua finalidade.
Por exemplo, um agente de suporte remoto pode legitimamente:
- criar um serviço;
- iniciar com o Windows;
- estabelecer conexão com servidores;
- receber comandos;
- permitir uma sessão remota;
- transferir arquivos;
- coletar informações técnicas necessárias ao funcionamento.
Esses comportamentos, isoladamente, não são prova de malware.
O que deve chamar atenção é quando o comportamento não corresponde ao propósito declarado.
Por exemplo:
- instalar componentes desconhecidos sem explicação;
- alterar configurações sem relação com sua função;
- tentar acessar informações pessoais desnecessárias;
- estabelecer conexões incompatíveis com sua finalidade;
- instalar outros programas sem autorização;
- apresentar comportamento diferente da documentação oficial.
Não confunda capacidade com comportamento malicioso #
Essa é uma das principais ideias deste artigo.
Um programa pode ter uma capacidade potencialmente perigosa sem utilizá-la de maneira maliciosa.
Por exemplo:
Um software de acesso remoto precisa ser capaz de controlar um computador.
Essa capacidade pode ser utilizada por:
um técnico autorizado
ou por:
um invasor.
A tecnologia pode ser semelhante.
O que muda é:
- quem está utilizando;
- quem autorizou;
- qual software está instalado;
- como ele foi configurado;
- para onde ele se conecta;
- qual finalidade possui;
- quais políticas de segurança estão sendo aplicadas.
Por isso, uma análise técnica deve considerar contexto, origem, identidade do fabricante e comportamento, e não apenas a existência de determinada funcionalidade.
Um exemplo prático: agente remoto legítimo x malware #
Considere dois programas.
Programa A #
É um agente de suporte remoto fornecido por uma empresa conhecida.
Ele:
- possui assinatura digital válida;
- foi baixado do site oficial;
- possui documentação;
- utiliza servidores conhecidos;
- executa as funções descritas pelo fabricante.
Programa B #
É um executável recebido por e-mail.
Ele:
- não possui fabricante identificado;
- tenta executar como administrador;
- instala serviços desconhecidos;
- estabelece conexões inesperadas;
- baixa outros executáveis;
- não possui origem verificável.
Ambos podem apresentar características técnicas semelhantes, como comunicação remota e execução em segundo plano.
Mas o contexto é completamente diferente.
O fato de um programa possuir capacidade de acesso remoto não é suficiente para classificá-lo como malware.
O que fazer se o programa legítimo continuar sendo bloqueado? #
Se você confirmou que o software é legítimo, não recomende simplesmente:
“Desative o antivírus.”
Em um ambiente corporativo, o correto é investigar a causa da detecção.
Registre:
- nome do produto;
- versão;
- arquivo detectado;
- fabricante;
- hash do arquivo, quando disponível;
- nome da detecção;
- solução de segurança responsável pelo alerta;
- data da detecção;
- versão do Windows.
Com essas informações, fica muito mais fácil determinar se existe:
- incompatibilidade;
- política de segurança;
- detecção heurística;
- PUA;
- bloqueio por reputação;
- falso positivo;
- problema na instalação.
O fabricante do software também pode orientar sobre o procedimento adequado.
Por que não devemos simplesmente colocar o programa na lista de exceções? #
Adicionar uma exceção pode resolver o bloqueio, mas também pode criar um problema de segurança.
Se você não sabe por que o arquivo foi detectado, colocar o arquivo ou sua pasta inteira na lista de exclusões pode impedir que futuras ameaças sejam identificadas.
Primeiro:
- entenda a detecção.
- verifique a documentação ou orientações do fabricante
Depois:
confirme a legitimidade.
Somente então avalie, de acordo com a política de segurança da organização, se alguma exceção é realmente necessária.
Checklist para analisar um programa bloqueado #
Quando um programa de acesso remoto merece atenção especial? #
Programas de acesso remoto devem ser tratados com atenção porque oferecem uma capacidade poderosa: permitir que alguém controle um computador à distância.
Isso vale para qualquer tecnologia da categoria. O risco não está simplesmente no fato de existir um agente remoto.
O risco aumenta quando existe:
- acesso não autorizado;
- credenciais comprometidas;
- ausência de autenticação adequada;
- falta de controle sobre quem pode acessar;
- ausência de registros;
- configuração inadequada;
- software desconhecido;
- agente instalado sem autorização.
Em ambientes profissionais, a utilização de uma ferramenta de acesso remoto deve estar associada a autorização, controle e rastreabilidade.
E se o arquivo já tiver sido executado no computador principal? #
Esse cenário é diferente.
Se você suspeita que o arquivo seja malicioso e ele já foi executado no Windows principal, não considere o Sandbox uma forma de “desfazer” o que aconteceu.
Nesse caso:
- interrompa a execução;
- desconecte o computador da rede se houver suspeita de comprometimento ativo;
- não continue testando o arquivo;
- execute uma análise de segurança;
- preserve informações relevantes para investigação;
- procure suporte especializado quando necessário.
O Sandbox é uma ferramenta para isolar testes futuros. Ele não limpa automaticamente um computador que já tenha sido comprometido.
Sandbox não substitui antivírus #
A Área Restrita é uma camada de isolamento.
Ela não substitui:
- Microsoft Defender;
- antivírus corporativo;
- EDR;
- firewall;
- atualizações de segurança;
- políticas de acesso;
- controle de aplicações.
Também não deve ser utilizada como justificativa para executar indiscriminadamente qualquer arquivo.
Quanto maior o risco do arquivo, maior deve ser o nível de isolamento e controle utilizado.
Enfim… #
Um alerta de segurança não deve ser ignorado, mas também não deve ser interpretado automaticamente como prova de que determinado programa é um vírus.
Softwares legítimos podem apresentar características semelhantes às utilizadas por ameaças, especialmente ferramentas de administração, suporte e acesso remoto.
Um agente remoto legítimo, por exemplo, pode precisar executar em segundo plano, iniciar com o Windows, estabelecer conexões de rede e permitir comandos remotos. Essas características são compatíveis com sua finalidade e, isoladamente, não significam que o software seja malicioso.
O procedimento correto é analisar o contexto:
Origem → Fabricante → Assinatura → Detecção → Comportamento → Finalidade
Quando ainda houver dúvida, utilize um ambiente isolado como o Windows Sandbox para realizar testes sem instalar o programa diretamente no sistema principal.
E existe uma regra simples que vale para qualquer software:
Não pergunte apenas “o antivírus detectou?”. Pergunte também “o que exatamente foi detectado, por que foi detectado e esse comportamento é compatível com a finalidade do programa?”
Essa diferença é fundamental para evitar dois erros:
confiar em um programa realmente malicioso
ou
bloquear um software legítimo simplesmente porque ele possui capacidades que também podem ser utilizadas de forma maliciosa.
⚠️ Este artigo ajudou? – Se este artigo não resolveu sua dúvida ou você identificou alguma informação desatualizada, entre em contato pelos canais de atendimento disponíveis nos aplicativos, pela nossa Central de Atendimento via WhatsApp ou telefone: (17) 2786-0640, Opção 4, ou ainda pela sua área de cliente.
⚠️ Imagens e dados do conteúdo são ilustrativos. O visual e as informações podem variar conforme a versão utilizada.
Gostou do artigo? Veja então as novidades em nosso SITE, compartilhe o artigo com seus amigos e siga a Master Remote no LinkedIn, Youtube, Instagram e Facebook. Além disso, aproveite para explorar outros artigos ao lado e fique por dentro das últimas novidades sobre tecnologia para atendimento ao cliente e cibersegurança.
VOCÊ PODE AINDA SE INTERESSAR POR:
