Em um mundo perfeito, não haveria nenhuma maneira de seu computador ser infectado por meio do navegador. Os navegadores devem executar páginas da web em uma área restrita não confiável, isolando-as do resto do computador. Infelizmente, isso nem sempre acontece.
Os sites podem usar brechas de segurança em navegadores ou plug-ins de navegador para escapar dessas caixas de proteção. Sites maliciosos também tentarão usar táticas de engenharia social para enganá-lo.
Plug-ins de navegador inseguros
A maioria das pessoas que são comprometidas por meio de navegadores são comprometidas por meio dos plug-ins de seus navegadores. O Java da Oracle é o pior e mais perigoso culpado. Apple e Facebook recentemente tiveram computadores internos comprometidos porque acessaram sites contendo miniaplicativos Java maliciosos. Seus plug-ins Java poderiam estar completamente atualizados - não importaria, porque as versões mais recentes do Java ainda contêm vulnerabilidades de segurança não corrigidas.
Para se proteger, você deve desinstale o Java inteiramente . Se não puder porque precisa de Java para um aplicativo de desktop como o Minecraft, você deve pelo menos desative o plugin do navegador Java para se proteger .
Outros plug-ins de navegador, especialmente os plug-ins do Adobe Flash Player e do leitor de PDF, também precisam corrigir vulnerabilidades de segurança regularmente. A Adobe se tornou melhor do que a Oracle em responder a esses problemas e corrigir seus plug-ins, mas ainda é comum ouvir sobre uma nova vulnerabilidade do Flash sendo explorada.
Plugins são alvos interessantes. Vulnerabilidades em plug-ins podem ser exploradas em todos os navegadores diferentes com o plug-in em todos os sistemas operacionais diferentes. Uma vulnerabilidade de plug-in Flash pode ser usada para explorar o Chrome, Firefox ou Internet Explorer em execução no Windows, Linux ou Mac.
Para se proteger contra vulnerabilidades de plug-ins, siga estas etapas:
- Use um site como Verificação do plugin do Firefox para ver se você tem algum plug-in desatualizado. (Este site foi criado pela Mozilla, mas também funciona com o Chrome e outros navegadores.)
- Atualize todos os plug-ins desatualizados imediatamente. Mantenha-os atualizados garantindo que as atualizações automáticas estejam ativadas para cada plug-in instalado.
- Desinstale plug-ins que você não usa. Se você não usa o plug-in Java, não deve instalá-lo. Isso ajuda a reduzir a sua “superfície de ataque” - a quantidade de software disponível no seu computador para exploração.
- Considere usar o recurso de plug-ins com um clique no Chrome ou Firefox, que impede a execução de plug-ins, exceto quando você especificamente os solicita
- Certifique-se de estar usando um antivírus em seu computador. Esta é a última linha de defesa contra uma vulnerabilidade de “dia zero” (uma vulnerabilidade nova e não corrigida) em um plugin que permite que um invasor instale software malicioso em sua máquina.
Furos de segurança do navegador
As vulnerabilidades de segurança nos próprios navegadores também podem permitir que sites maliciosos comprometam seu computador. Os navegadores da web limparam amplamente sua ação e as vulnerabilidades de segurança em plug-ins são atualmente a principal fonte de comprometimentos.
No entanto, você deve manter seu navegador atualizado de qualquer maneira. Se você estiver usando uma versão antiga e sem patch do Internet Explorer 6 e visitar um site de menor reputação, o site pode explorar vulnerabilidades de segurança em seu navegador para instalar software malicioso sem sua permissão.
Proteger-se de vulnerabilidades de segurança do navegador é simples:
- Mantenha seu navegador atualizado. Todos os principais navegadores agora verificam as atualizações automaticamente. Deixe o recurso de atualização automática habilitado para permanecer protegido. (O Internet Explorer se atualiza por meio do Windows Update. Se você usa o Internet Explorer, manter-se atualizado sobre as atualizações do Windows é extremamente importante.)
- Certifique-se de que você está correndo um antivírus no seu computador. Tal como acontece com os plug-ins, esta é a última linha de defesa contra uma vulnerabilidade de dia zero em um navegador que permite que malware entre em seu computador.
Truques de engenharia social
Páginas da web maliciosas tentam induzi-lo a baixar e executar malware. Eles geralmente fazem isso usando “engenharia social” - em outras palavras, eles tentam comprometer seu sistema, convencendo você a deixá-los entrar sob falsos pretextos, não comprometendo seu navegador ou plug-ins.
Esse tipo de comprometimento não se limita apenas ao seu navegador da web - mensagens de e-mail maliciosas também podem tentar induzi-lo a abrir anexos não seguros ou baixar arquivos não seguros. No entanto, muitas pessoas estão infectadas com tudo, desde adware e barras de ferramentas desagradáveis do navegador a vírus e cavalos de Tróia por meio de truques de engenharia social que ocorrem em seus navegadores.
- Controles ActiveX : O Internet Explorer usa Controles ActiveX para seus plug-ins de navegador. Qualquer site pode solicitar que você baixe um controle ActiveX. Isso pode ser legítimo - por exemplo, você pode precisar baixar o controle ActiveX do Flash player na primeira vez que reproduzir um vídeo Flash online. No entanto, os controles ActiveX são como qualquer outro software em seu sistema e têm permissão para sair do navegador da Web e acessar o resto do sistema. Um site malicioso que empurra um controle ActiveX perigoso pode dizer que o controle é necessário para acessar algum conteúdo, mas pode realmente existir para infectar seu computador. Em caso de dúvida, não concorde em executar um controle ActiveX.
- Download automático de arquivos : Um site malicioso pode tentar baixar automaticamente um arquivo EXE ou outro tipo de arquivo perigoso em seu computador na esperança de que você o execute. Se você não solicitou especificamente um download e não sabe o que é, não baixe um arquivo que aparece automaticamente e pergunta onde salvá-lo.
- Links de download falsos : Em sites com redes de anúncios ruins - ou sites onde conteúdo pirateado é encontrado - você frequentemente verá anúncios imitando botões de download. Esses anúncios tentam induzir as pessoas a baixar algo que não estão procurando, mascarando-se como um link de download real. Há uma boa chance de links como este conterem malware.
- “Você precisa de um plug-in para assistir a este vídeo” : Se você se deparar com um site que diz que você precisa instalar um novo plug-in ou codec do navegador para reproduzir um vídeo, tome cuidado. Você pode precisar de um novo plug-in do navegador para algumas coisas - por exemplo, você precisa do plug-in Silverlight da Microsoft para reproduzir vídeos no Netflix - mas se você estiver em um site de menor reputação que deseja que você baixe e execute um arquivo EXE para reproduzir seus vídeos, há uma boa chance de que eles estejam tentando infectar seu computador com software malicioso.
- “Seu computador está infectado” : Você pode ver anúncios dizendo que seu computador está infectado e insistindo que você precisa baixar um arquivo EXE para limpar as coisas. Se você baixar esse arquivo EXE e executá-lo, provavelmente seu computador estará infectado.
Esta não é uma lista exaustiva. Pessoas mal-intencionadas estão constantemente em busca de novas maneiras de enganar as pessoas.
Como sempre, executar um antivírus pode ajudar a protegê-lo se você baixar acidentalmente um programa malicioso.
Essas são as maneiras que o usuário médio de computador (e até mesmo os funcionários do Facebook e da Apple) têm seus computadores “hackeados” por meio de seus navegadores. Conhecimento é poder, e essas informações devem ajudá-lo a se proteger online.
