O Delta Executor tem vírus? Como ler a análise
Os arquivos publicados do Delta Executor recebem um rótulo de reempacotamento, não de família de malware; o que marca uma infecção é um rótulo que cita um stealer, um ransomware ou um backdoor. O relatório do VirusTotal do arquivo que você tem mostra qual dos dois casos se aplica.
Por que o antivírus sinaliza o Delta Executor?
Um analisador reage à identidade. O arquivo de Android se identifica como o próprio pacote do Roblox, com.roblox.client, mas é assinado com um certificado que o seu autor emitiu para si mesmo. Um rótulo de reempacotamento como Riskware.Repack marca um app que copia a identidade de um app existente com conteúdo ou certificado alterados.
O arquivo do iPhone segue o mesmo padrão: um app do Roblox com outro identificador de pacote. O único rótulo registrado para um arquivo publicado é esse rótulo de reempacotamento, então ele descreve o que o arquivo é, uma cópia modificada do app de outra empresa, e não uma carga maliciosa dentro dele. Os rótulos de um arquivo do Windows descrevem esse arquivo, não uma versão atual, já que nenhuma versão para Windows é compatível.
O que significam os rótulos do antivírus?
Um rótulo nomeia um tipo, e o tipo decide se significa uma infecção.
| Tipo de rótulo | Detalhes |
|---|---|
| PUA (aplicativo potencialmente indesejado) | O que a Microsoft diz que é: software que a Microsoft não conta como malware; uma categoria é “má reputação no setor”, em que provedores de segurança confiáveis o detectam O que significa para um arquivo do Delta: uma sinalização no arquivo, não uma infecção |
| HackTool | O que a Microsoft diz que é: uma categoria de ferramentas cujos membros podem permitir acesso não autorizado a um dispositivo O que significa para um arquivo do Delta: um rótulo de tipo de ferramenta: procure uma família com nome ao lado |
| Rótulo de reempacotamento (Riskware, Repack) | O que a Microsoft diz que é: um app que copia a identidade de outro app com conteúdo ou certificado alterados O que significa para um arquivo do Delta: como o arquivo foi construído; o rótulo registrado para os arquivos publicados |
| Trojan, ladrão de senhas, ransomware, downloader, backdoor | O que a Microsoft diz que é: malware: um trojan se passa por software inofensivo, um ladrão de senhas coleta logins (muitas vezes com um keylogger), um ransomware bloqueia arquivos em troca de pagamento, um downloader baixa outro malware e um backdoor dá acesso remoto O que significa para um arquivo do Delta: uma infecção: pare de usar o arquivo |
Cada fornecedor nomeia uma mesma família de um jeito, então leia o tipo dentro do rótulo em vez da grafia de um único fornecedor.
Como ler um relatório do VirusTotal do arquivo?
- Confira se o hash bate. Abra o relatório ligado a partir da página de plataforma do arquivo — página do APK de Android, iPhone ou versão do Vietnã — e confirme que o hash SHA-256 dele é igual ao do arquivo que você tem. Um hash diferente significa um arquivo diferente.
- Leia os rótulos, não a contagem. A aba Detection lista o rótulo de cada fornecedor. O rótulo PUA ou de reempacotamento de um fornecedor é diferente de dois ou mais fornecedores que citam um stealer.
- Confira a aba Details. Ela lista o nome do pacote e o certificado de assinatura, os dois fatos descritos acima.
- Leia a aba Community para ver notas de outros usuários.
O VirusTotal agrega mais de 70 analisadores e mostra falsos positivos ao lado das detecções reais. Ele lista o que os analisadores reconhecem, e o comportamento do app depois de iniciado fica fora disso.
O que significa uma instalação bloqueada?
Três avisos parecem iguais e são de natureza diferente:
O aviso de fonte desconhecida do Chrome
Diz que o celular pode não instalar apps dessa fonte e oferece um botão Configurações. É uma configuração do celular, e a chave “Allow apps from this source” resolve.
A solicitação de análise do Play Protect
Aparece para um app novo para ele e pede para enviar detalhes do app ao Google. Você escolhe Scan app ou Don’t install.
O bloqueio do Play Protect
O bloqueio do Play Protect, intitulado “Harmful app blocked”, chama o app de falso, com OK como botão e “Install anyway” como um pequeno link. Esse é um veredito a que o Play Protect chegou sobre o próprio arquivo.
No Windows, a Microsoft afirma que um aviso de software desconhecido não é um bloqueio. Quando aparecer um bloqueio, confira o hash do arquivo com a página da plataforma e leia o relatório antes de decidir; a página do arquivo de Android traz os passos de instalação.
Como identificar e remover um arquivo falso do Delta Executor?
Um arquivo do Delta Executor para Windows não é uma versão atual: a versão para Windows foi descontinuada, então uma cópia oferecida hoje é desatualizada ou falsa. Apague-a e analise o PC offline. Os três sinais de um download falso estão no guia de segurança.
- Não o execute de novo. Se ele chegou a rodar, trate os logins salvos como expostos e troque essas senhas, e a do Roblox, a partir de outro dispositivo.
- Salve o seu trabalho e abra Segurança do Windows → Proteção contra vírus e ameaças → Opções de verificação, selecione Verificação Offline do Microsoft Defender e escolha Verificar agora.
- Espere cerca de 15 minutos. O Windows reinicia, verifica fora do sistema normal e carrega de novo. A verificação precisa de direitos de administrador.
- Leia o resultado no Histórico de proteção da Segurança do Windows e remova o que ele listar.
A verificação offline não roda em PCs com Windows ARM, e o BitLocker precisa ser suspenso antes, ou o Windows pede a chave de recuperação. Uma exclusão é o passo errado, porque deixa de verificar aquele arquivo. No Android, desinstale o app em Configurações → Apps; o Play Protect também pode desativar ou remover um app que julgue prejudicial.
Um relatório limpo significa que o Delta Executor é seguro?
Não. Um relatório limpo responde a uma única pergunta: se os analisadores reconhecem o arquivo. Ele não descreve o comportamento do app depois de iniciado e não trata das regras da Roblox. Além disso, um relatório pertence a um arquivo exato: uma nova versão tem um novo hash e um novo relatório. O risco para a conta é uma questão à parte.