Acabámos de receber um computador novo no escritório, precisamos de uma ferramenta de edição de fotos ou de um utilitário de compressão, e o primeiro impulso é pesquisar o nome do software num motor de busca. O primeiro link apresentado nem sempre é o do fabricante.
Por vezes, trata-se de uma cópia quase perfeita do site oficial, alojada num domínio comprado no dia anterior, que distribui um instalador modificado com um programa malicioso. Descarregar e instalar software em segurança começa com este primeiro gesto: verificar o endereço antes de clicar.
Verifique a origem do ficheiro antes de o descarregar
O cenário clássico é este: pesquisamos «VLC descarregar» e clicamos no primeiro resultado patrocinado. O site parece verdadeiro, o botão de transferência é igual, mas o URL não corresponde ao domínio oficial do fabricante do software. Este tipo de armadilha recorre a nomes de domínio semelhantes (uma letra a mais, um hífen acrescentado, uma extensão diferente).
Antes de iniciar uma transferência, verificamos duas coisas. Primeiro, se o URL na barra de endereço corresponde ao site oficial do fabricante do software. Depois, se a ligação é encriptada (cadeado no navegador). Um site sem HTTPS que disponibiliza um ficheiro executável para transferência é um sinal de alerta claro.
As plataformas de distribuição reconhecidas (Microsoft Store, o site do fabricante, repositórios como o GitHub para projetos de código aberto) continuam a ser as fontes mais fiáveis. Como explica o site Information Influx, confirmar a origem da transferência no site oficial do fabricante é um hábito que evita a maioria dos instaladores maliciosos.
Um pormenor que muitas vezes passa despercebido: os resultados patrocinados nos motores de busca não estão sujeitos aos mesmos filtros que os resultados orgânicos. Dar preferência aos resultados orgânicos reduz o risco de aceder a um site falso.
Ficheiro descarregado: verificações a fazer antes da instalação
Depois de o ficheiro estar no disco, não fazemos duplo clique de imediato. A primeira verificação útil é confirmar a impressão digital do ficheiro (hash SHA-256). Muitos fabricantes publicam esta impressão digital na página de transferência. Comparamo-la com a do ficheiro obtido, usando um utilitário integrado no sistema (certutil no Windows, shasum no macOS ou Linux). Se as duas impressões digitais não corresponderem, o ficheiro foi alterado durante a transferência.
A segunda verificação diz respeito à assinatura digital do instalador. No Windows, clicar com o botão direito do rato no ficheiro .exe e selecionar «Propriedades» e o separador «Assinaturas digitais» permite verificar se o fabricante assinou o programa. Um instalador sem assinatura proveniente de um fabricante comercial é suspeito.
Analise o ficheiro com um antivírus antes de o executar
Mesmo com um antivírus ativo em segundo plano, analisar manualmente o ficheiro descarregado antes de o abrir acrescenta uma camada de verificação. Alguns antivírus só intercetam as ameaças no momento da execução, e não durante a transferência. A análise manual força uma inspeção completa do ficheiro enquanto este está inativo.
Para ficheiros suspeitos, serviços online como o VirusTotal permitem enviar um ficheiro e analisá-lo simultaneamente com dezenas de motores antivírus. Um ficheiro assinalado por vários motores deve ser eliminado sem hesitação.
Software gratuito e programas indesejados: leia todos os ecrãs de instalação
Os programas gratuitos financiados por publicidade incluem regularmente programas adicionais no instalador. Por vezes, são chamados «bundleware»: barras de ferramentas para o navegador, utilitários de otimização do sistema ou alterações ao motor de busca predefinido. Estes extras não são vírus em sentido estrito, mas tornam o sistema mais pesado e recolhem dados de navegação.
A armadilha está nos ecrãs de instalação que a maioria dos utilizadores aceita clicando em «Seguinte» sem ler. A opção «instalação recomendada» ou «instalação rápida» inclui quase sempre estes componentes adicionais. Eis os hábitos a adotar em cada instalação:
- Escolha sempre a opção «instalação personalizada» ou «avançada», mesmo para software de confiança, para ver a lista completa dos componentes propostos
- Desmarque todas as caixas pré-selecionadas relativas a programas de terceiros, alterações à página inicial do navegador ou a um «parceiro» do fabricante
- Leia todos os ecrãs de instalação até ao fim antes de clicar em «Seguinte», incluindo as notas em letras pequenas na parte inferior da janela
- Se um programa exigir a instalação de um componente de terceiros sem permitir recusá-la, considere uma alternativa de código aberto que não imponha nada
Atualizações de segurança: a instalação de um software nunca é o fim
A instalação e o funcionamento de um software não encerram o assunto. As falhas de segurança surgem depois do lançamento de uma versão, e as correções chegam sob a forma de atualizações. Um software desatualizado torna-se uma porta de entrada para ataques, mesmo que tenha sido descarregado originalmente de uma fonte fiável.
O Regulamento Europeu de Ciber-Resiliência (Cyber Resilience Act), que entrou em vigor em dezembro de 2024, obriga progressivamente os fabricantes de software a gerir vulnerabilidades e a disponibilizar atualizações corretivas durante o ciclo de vida do produto. As principais obrigações serão aplicáveis a partir de 11 de dezembro de 2027, com um prazo intermédio em 11 de setembro de 2026 para a comunicação de vulnerabilidades exploradas ativamente.
Escolha software que continue a ser mantido ativamente
Antes de instalar um programa, pode verificar a data da última atualização no site do fabricante ou no respetivo repositório de código. Um software cuja última versão foi lançada há vários anos, sem qualquer referência a correções de segurança, representa um problema concreto: as vulnerabilidades descobertas desde então nunca serão corrigidas.
No próprio sistema operativo, ativar as atualizações automáticas continua a ser o método mais fiável para corrigir as falhas do sistema e dos componentes integrados (navegador, leitor de PDF, ambiente Java ou .NET). Alguns programas de terceiros incluem o seu próprio mecanismo de atualização automática. Quando não é esse o caso, uma verificação manual mensal é suficiente na maioria das situações.
Os bons hábitos para descarregar e instalar software em segurança resumem-se, afinal, a alguns passos simples de verificar: confirmar a origem, inspecionar o ficheiro, ler os ecrãs de instalação e manter o software atualizado. São hábitos que levam apenas alguns segundos, mas evitam horas de limpeza após uma infeção.
