Antivírus Protege Contra Ransomware? Depende de o Ataque Ainda Usar Arquivo

Antivírus tradicional bloqueia a maioria dos ransomwares conhecidos, com detecção acima de 99% em testes independentes. O problema real é outro: ransomware fileless, que roda inteiramente na memória sem tocar o disco, cresceu 40% em um ano e escapa do tipo de verificação que o antivírus foi desenhado para fazer.

Existe uma resposta para “esse ransomware específico, com essa assinatura já catalogada” e outra, bem diferente, para “qualquer coisa que um atacante decida tentar amanhã” — tratar as duas como a mesma pergunta é onde a maioria dos resumos sobre o tema erra. Este artigo fica nos números por trás dessa segunda resposta, não no discurso genérico de “antivírus já não serve para nada” que circula por aí. Para entender como um antivírus moderno é montado por dentro, camada por camada, o artigo da InfoB sobre como funciona um antivírus moderno cobre isso em detalhe; para a comparação direta com EDR, o guia sobre tipos de antivírus já resolve essa dúvida específica.

Qual é a Taxa Real de Detecção de um Antivírus Contra Ransomware?

Os números variam conforme o tipo de ameaça, e é aí que a resposta simples “sim” ou “não” perde sentido. Testes independentes da AV-Comparatives mostram os antivírus líderes de mercado detectando mais de 99% de vírus e ransomwares já catalogados. Para malware desconhecido, analisado por heurística, a ESET reportou taxa de cerca de 90%. Já para ransomware fileless, que não deixa arquivo para examinar, testes da CrowdStrike apontam detecção comportamental na casa de 85%.

A leitura direta: quanto mais um ataque se afasta do padrão “arquivo malicioso conhecido”, mais a taxa de detecção cai, mesmo em produtos bons. A causa não está num fabricante específico e sim numa limitação estrutural de qualquer abordagem que precise identificar algo concreto para bloquear.

O Que é Ransomware Fileless e Por Que Ele Passa Batido?

Em vez de baixar um arquivo malicioso para o disco, esse tipo de ataque injeta código diretamente na memória, usando ferramentas que já vêm instaladas no Windows, como PowerShell e WMI. Como não há arquivo novo para escanear, um antivírus baseado em assinatura simplesmente não tem o que examinar.

Um exemplo documentado recentemente ilustra o mecanismo: em dezembro de 2025, uma campanha rastreada como Storm-0249 usou engenharia social do tipo ClickFix para induzir a vítima a rodar um comando PowerShell. Esse comando baixava e executava uma carga fileless via curl.exe encadeado direto no PowerShell, sem que nenhum arquivo tocasse o disco, e usava DLL sideloading através de um binário de segurança legitimamente assinado para manter persistência antes de acionar o ransomware. Cada etapa do ataque, até o momento da criptografia, usou técnicas fileless.

Esse tipo de campanha virou tendência consolidada, não exceção: variantes fileless em kits de ransomware cresceram 40% em um ano, 93% das organizações já enfrentaram pelo menos uma intrusão com potencial de virar ransomware nos últimos 24 meses, e o volume de ataques de ransomware reportados publicamente subiu de 4.900 em 2024 para 7.200 em 2025, um aumento de 47%.

Empresas com Antivírus Instalado Ainda Sofrem Ransomware?

Sofrem, em número relevante. A pesquisa State of Ransomware 2025, da Sophos, ouviu 110 organizações brasileiras: 73% foram vítimas de ransomware em 2024, e 66% chegaram a pagar algum resgate. Praticamente todas essas empresas tinham algum antivírus rodando, sinal de que o resultado de um ataque depende de mais camadas do que só essa. O custo médio de recuperação, sem contar o valor do resgate, ficou em US$ 1,19 milhão.

Outro dado que reforça esse ponto: o relatório de ameaças 2026 da CrowdStrike registrou que 82% das detecções não envolveram instalação de malware algum, só uso de credenciais válidas e ferramentas legítimas do próprio sistema. Um antivírus, por definição, foi desenhado para achar software malicioso. Quando o ataque não usa software malicioso no sentido tradicional, a régua de avaliação muda.

O Que Fecha essa Lacuna do Antivírus Contra Ransomware?

Três camadas, cada uma resolvendo uma parte diferente do problema:

• Detecção comportamental (EDR) — monitora o que um processo faz, não só o que ele é, capturando justamente o tipo de ataque que não deixa arquivo para examinar. O artigo O que é EDR e por que sua empresa não pode depender apenas de antivírus detalha essa camada, com um caso real de cliente incluído.
• Identidade protegida — já que boa parte dos ataques modernos começa com uma credencial comprometida, não com um arquivo malicioso, MFA resistente a phishing e Conditional Access fecham a porta de entrada mais usada hoje.
• Backup imutável testado — a camada que garante que, mesmo se as duas anteriores falharem, existe uma cópia recuperável fora do alcance do ataque. O guia completo de backup do Microsoft 365 da InfoB cobre essa estrutura em detalhe.

O Windows Defender é Suficiente Contra Ransomware?

Como camada única, carrega a mesma limitação estrutural de qualquer antivírus isolado, nativo ou de terceiros. O recurso de Acesso de Pasta Controlada ajuda especificamente contra criptografia não autorizada, bloqueando programas não confiáveis de alterar arquivos em pastas protegidas, e o Microsoft 365 soma detecção e recuperação de ransomware como parte da proteção avançada. Isso reduz risco, mas não elimina a lacuna descrita neste artigo: nenhuma dessas camadas troca completamente a lógica de “identificar algo” por monitoramento comportamental contínuo do ambiente inteiro.

Saber se o seu ambiente hoje tem cobertura real contra ransomware fileless, ou só contra a fatia conhecida do problema, é uma pergunta que dá para responder com um diagnóstico técnico, não com a ficha de especificação do fornecedor. A InfoB trabalha com Kaspersky, Sophos e Microsoft Defender for Endpoint para montar essa camada de detecção comportamental sobre a base de antivírus que sua empresa já tem. Fale com um especialista da InfoB.

Conclusão

Antivírus protege contra ransomware, com uma taxa de acerto alta o suficiente para valer o investimento, contanto que o ataque ainda se pareça com algo já catalogado. O ponto cego mora do lado oposto: ransomware fileless, que não toca disco, que usa ferramentas legítimas do próprio Windows, e que aumentou 40% em um ano porque os atacantes sabem onde a maioria das empresas ainda não está olhando. Fechar essa lacuna não depende de trocar de antivírus, depende de somar detecção comportamental, identidade protegida e backup testado às camadas que já existem.

Perguntas Frequentes

Antivírus gratuito protege contra ransomware?

Contra variantes conhecidas, em boa medida, sim. Contra ransomware fileless e ataques direcionados, a diferença entre um antivírus gratuito e uma plataforma corporativa com EDR costuma estar justamente na cobertura desse tipo de ameaça, que depende de análise comportamental contínua, não só de assinatura.

Antivírus detecta ransomware fileless?

Parcialmente, e só quando existe análise comportamental ativa, não apenas assinatura. Esse tipo de ataque roda em memória e usa ferramentas que já vêm instaladas no Windows, então não gera o arquivo que um scanner tradicional examinaria — a detecção depende de observar o que o processo faz, não o arquivo em si.

O Windows Defender é suficiente contra ransomware?

Como camada única, tem a mesma limitação de qualquer antivírus isolado. Recursos como o Acesso de Pasta Controlada ajudam contra criptografia não autorizada, mas a mesma lacuna de detecção comportamental contínua contra ataques fileless se aplica a ele também.

Qual a diferença entre antivírus e EDR contra ransomware?

Antivírus tenta impedir a entrada da ameaça. EDR assume que algo vai passar e monitora o comportamento do ambiente para detectar e conter esse algo rapidamente. O artigo da InfoB sobre o que é EDR detalha essa diferença com um caso real de cliente.

Preciso de antivírus e backup ao mesmo tempo?

Sim, e eles resolvem problemas diferentes. Antivírus tenta impedir que o ataque aconteça. Backup garante que, mesmo se acontecer, existe um caminho de volta que não depende de pagar resgate. Nenhum dos dois substitui o outro.

Qual é a taxa de detecção de um bom antivírus?

Para ameaças conhecidas, os antivírus líderes chegam a mais de 99% de detecção em testes independentes da AV-Comparatives. Para malware desconhecido analisado por heurística, a taxa cai para a casa de 90%. Para ransomware fileless especificamente, fica em torno de 85% mesmo com boa análise comportamental.