Diretrizes PUP para a deteção em produtos G DATA

Este artigo explica as regras segundo as quais geramos deteções de PUP (Possibly Unwanted Program)

Publicamos estas diretrizes para dar aos nossos clientes e parceiros a possibilidade de determinar se um software deve ser classificado como PUP (Possibly Unwanted Program). Os analistas da G DATA cumprem rigorosamente estas diretrizes quando classificam como PUP um software que analisamos na G DATA.

No entanto, a deteção não se limita a instâncias individuais do próprio software, abrangendo também a conduta da empresa que está por detrás do software. A utilização de um software reduz-se a um contrato entre duas partes, o utilizador e o programador/fornecedor/distribuidor do software, doravante designado neste documento por distribuidor.

Todas as funções de um software implicam tempo e dinheiro para desenvolvimento, testes e manutenção.

Por conseguinte, é altamente improvável que um software comercial contenha funções desnecessárias.

Por conseguinte, deve partir-se do princípio de que todas as funções encontradas foram adicionadas para fins específicos.

Ainda assim, podem ocorrer erros, mas espera-se que sejam corrigidos, em especial quando são em detrimento do utilizador. "Erros" repetidos em detrimento dos utilizadores são altamente irrealistas.

Se um software violar uma ou mais das seguintes regras, é muito provável que seja classificado pela G DATA como "potencialmente indesejado". Os clientes que, ainda assim, pretendam continuar a utilizar esse software podem fazê-lo a qualquer momento, desativando a deteção de "programas potencialmente indesejados" nas suites antivírus da G DATA.

Burlas

Aqui definida como "engano ilícito ou criminoso com o objetivo de obter ganho financeiro ou pessoal". A burla é sempre intencional; qualquer tipo de burla conduz a uma classificação PUP ou pior.

Exemplos de comportamento fraudulento de software:

  • Fingir tratar-se de um software ou serviço da Microsoft ou de outro fornecedor legítimo, embora não o seja.

  • Apresentação de uma contagem decrescente falsa para uma oferta falsa e limitada no tempo.

  • Registo que se revela ser uma compra ou uma subscrição.

  • Apresentar um comportamento diferente em ambientes virtuais do que em hardware real.

  • Avisos ou pop-ups falsos que não se baseiam em factos.

Indução em erro

Aqui definida como "transmitir uma ideia falsa ou criar uma impressão falsa". A indução em erro do utilizador não tem necessariamente de ocorrer de forma intencional, podendo também ser o resultado de uma má escolha de palavras, p. ex. devido a uma tradução deficiente. No entanto, se determinarmos que as informações enganosas são intencionais, classificamos o software como potencialmente indesejado.

A intenção pode ser difícil de provar, mas alguns exemplos em que podem ser encontradas informações para induzir os utilizadores em erro são

  • O comportamento do software (afirma otimizar o seu PC, mas não o faz)

  • Diálogos e textos na interface gráfica do utilizador (GUI) da aplicação que, p. ex., ocultam o facto de que o software recolhe, em grande escala, dados pessoais

  • Histórico do comerciante ou do software

  • Outro software do mesmo fabricante e website/loja online

  • Campanhas limitadas, por exemplo, a:

    • Tempo

    • Região

    • Ambiente de software/hardware

Finalidade e benefício

As finalidades de um software podem ser divididas em 2 categorias: finalidade em benefício do utilizador e finalidade em benefício do distribuidor.

Para que um software seja viável, tem de trazer um benefício ao utilizador; caso contrário, ninguém estará disposto a utilizá-lo. Por outro lado, o software tem de trazer algum benefício ao distribuidor; caso contrário, o desenvolvimento do software foi um desperdício de tempo e dinheiro. Na maioria dos casos, o software destina-se a gerar algum tipo de rendimento.

Para um contrato justo, as vantagens para ambas as partes devem ser equilibradas.

Se, no entanto, o equilíbrio pender demasiado na direção do distribuidor, é mais provável que esse software seja potencialmente indesejado.

  • O software tem de trazer um benefício ao utilizador.

  • Cada função deve trazer um benefício ao utilizador.

  • Se uma função não beneficiar diretamente o utilizador, tem de ser justificada por escrito.

  • O preço que o utilizador paga tem de ser claro e não deve colocá-lo em desvantagem.

Publicidade

As ofertas feitas pelo software durante/após a instalação, durante a execução ou durante a desinstalação também são contabilizadas como publicidade.

A publicidade pode ser dividida em 2 categorias:

Publicidade que promove o software/serviço

  • O marketing de afiliados, regra geral, promove o software.

    • É da responsabilidade do parceiro de distribuição manter os parceiros alinhados; violações destas diretrizes por parte de parceiros também conduzem a um juízo de "potencialmente indesejado" para o programador e distribuidor do software.

    • Os afiliados não podem ser utilizados como desculpa para instalações indesejadas.

    • Os afiliados não podem violar nenhuma das regras de publicidade indicadas abaixo na secção relativa à publicidade através do software/serviços:

  • Autopromoção noutro software do mesmo fornecedor.

Publicidade através do software/do serviço

  • O parceiro de distribuição assume total responsabilidade pela publicidade apresentada ao utilizador.

  • A publicidade deve estar em conformidade com a legislação na região do utilizador.

  • Os anúncios não podem ser fraudulentos nem induzir em erro.

  • Os anúncios não podem ser ofensivos.

  • Os anúncios não podem ser ameaçadores.

  • Os anúncios não podem promover aplicações potencialmente indesejadas conhecidas.

  • Os anúncios não podem dificultar ou perturbar o funcionamento do computador e/ou de outro software.

  • O software promovido só pode ser instalado com o consentimento expresso do utilizador.

Monitorização do ambiente do sistema

A deteção do ambiente pode ser utilizada legitimamente para disponibilizar o idioma correto e os ficheiros corretos para o sistema operativo.

No entanto, é frequentemente utilizada por software potencialmente indesejado para determinar que comportamento censurável pode ser executado sem ser detetado. Isto equivale ao uso de um dispositivo de desativação, como no escândalo do diesel da Volkswagen. Se for detetado que o software está a ser executado num ambiente de teste, o software comporta-se de forma diferente do que nos PCs de potenciais clientes.

Beispiele für erkannte Umgebungen:

  • Máquina virtual (VMWare, VirtualBox, …​)

  • Software antivírus

  • Anti-spyware

  • Região (geo IP, idioma, hora do dia, …​)

Beispiele für abweichende Aktionen

  • Instalação de uma versão de teste apenas em hardware real; instalação da versão completa em máquinas virtuais.

  • Apresentação de publicidade apenas em hardware real; nenhuma apresentação em computadores virtuais.

  • Instalação de extensões intrusivas do navegador ou outros módulos de software apenas em hardware real, não em máquinas virtuais

Instalação

Existem muito poucos casos de utilização legítimos para as funcionalidades de instalação silenciosa de programas de instalação comuns como o Inno Setup. O caso legítimo mais comum é a implementação por um administrador de rede. Neste caso, no entanto, as EULA do software em causa têm de identificar explicitamente o software como destinado à utilização empresarial.

Na maioria das vezes, as funcionalidades de instalação silenciosa são utilizadas para permitir que empresas associadas instalem o software sem o consentimento do utilizador.

  • Para versões de teste, não existem casos de utilização legítimos para uma instalação silenciosa.

  • Para software de consumo, regra geral, não existem casos de utilização legítimos para a instalação silenciosa.

  • Numa instalação silenciosa, o consentimento para todos os diálogos de instalação, a EULA e as políticas de proteção de dados é anulado. Uma vez que estes são nulos, não existe qualquer contrato juridicamente válido entre o utilizador e o distribuidor.

EULA (End User License Agreement)

A EULA (acordo de licença de utilizador final) não pode conter nada de surpreendente nem algo que viole a lei do país em que o software se destina a ser utilizado. Todos os pontos surpreendentes ou inadequados são inadmissíveis. Exemplos de tais pontos são:

  • Utilização de malware falsa para demonstrar a deteção de malware.

  • Utilização de miners de criptomoedas.

  • Recolha e/ou comércio de dados pessoais

Tudo o que proporcione vantagens adicionais à parte distribuidora tem de ser expressamente declarado durante o processo de instalação, fora da EULA; ver exemplos acima

Disposições de proteção de dados

Nas disposições de proteção de dados devem ser observados determinados princípios fundamentais.

As disposições de proteção de dados

  • Devem estar em conformidade com o GDPR e/ou o DSGVO, se o software se destinar a ser utilizado na Europa.

  • Não podem conter nada de surpreendente.

  • Não podem declarar informações pessoalmente identificáveis como "pseudónimo" ou "anónimo". A utilização de informações pessoalmente identificáveis não pode ser ocultada.

Todos os conteúdos inadmissíveis têm de ser explicitamente indicados nos diálogos de instalação. Isto significa que cada recolha adicional de dados, que não seja necessária para o funcionamento da aplicação, tem de ter um opt-in (o utilizador tem de a ativar ativamente) e tem de ser explicada no diálogo de instalação de forma que qualquer pessoa, e as consequências daí resultantes, possam ser compreendidas. Exemplos de recolhas de dados que, em caso de utilização, devem ser devidamente explicadas:

  • Recolha e/ou comércio de PII (informações pessoalmente identificáveis).

  • Recolha e/ou partilha de informações de hardware.

  • Recolha e/ou comércio de informações sobre a utilização/instalação de software de terceiros.

  • Recolha e/ou comércio de websites visitados.

  • Recolha e/ou comércio de credenciais de início de sessão para serviços de fornecedores terceiros

Versões de teste/versões completas

O tipo de software tem de ser claramente indicado durante a instalação. Isto significa que tem de ser explicitamente esclarecido se se trata de uma versão completa ou de uma versão de teste, quais as características e funções disponíveis e quais as limitações existentes.

As versões de teste não dão direito a qualquer tipo de compensação por parte do utilizador, com exceção de informações de contacto, e não podem ser monetizadas de forma alguma até que o utilizador decida atualizar para a versão completa.

Arranque automático

As entradas de arranque automático têm de ser justificadas e necessárias para o funcionamento da aplicação.

Exemplos de possíveis entradas de arranque automático são:

  • Arranque automático

  • Serviço

  • Tarefa agendada

Exemplos de legítimas entradas de arranque automático são:

  • Execução de um serviço antivírus

  • Verificação de atualizações de software

Exemplos de não legítimas entradas de arranque automático:

  • Verificação de atualizações de controladores a cada arranque do sistema.

  • Várias tarefas agendadas para a verificação do limpador do registo.

  • Serviço instalado para um descarregador de software.

Tempo de execução

Durante o tempo de execução, um software tem de funcionar conforme prometido, para cumprir as expectativas do utilizador e proporcionar-lhe um benefício. Qualquer funcionalidade que não cumpra estes objetivos tem de ser justificada.

Exemplos de benefício de distribuição justificado:

  • Lembrete ocasional de que o software está na fase de teste.

  • Vantagem publicitária da versão completa.

  • Apresentação adequada de publicidade em software suportado por publicidade.

Exemplos de benefícios de distribuição não justificados:

  • Verificação de software concorrente.

  • Apresentação de publicidade para software de terceiros ou outro software do mesmo fornecedor na versão de teste.

  • Publicidade para outro software do mesmo fornecedor disfarçada de funcionalidade.

Desinstalação

A desinstalação tem de ser fácil de encontrar e de executar.

  • Deve ser completa e não pode deixar ficheiros, entradas de arranque automático ou manipulações do registo no sistema.

  • A ação predefinida para a desinstalação tem de ser desinstalar.

  • Não pode ser mais difícil do que a instalação

Website/loja online

O website e/ou a loja online representam a empresa e o software. Têm de ser verdadeiros e claros e não podem dissimular/ocultar informações.

Exemplos de práticas inadmissíveis de website/loja online:

  • Apresentar uma matriz de produtos, mas todos os links para os diferentes produtos conduzem ao mesmo produto.

  • Utilização de contagens decrescentes rápidas para colocar o cliente sob pressão.

  • Utilização de contagens decrescentes falsas.

  • O número de unidades restantes é inventado (não existe "stock limitado" em downloads de software).

  • A contagem decrescente para sem que o período da oferta termine.

  • A aplicação está sempre em promoção ou os "eventos" de venda estão desatualizados.

  • Adição automática de outros produtos ao carrinho de compras.

Reputação

A história e a reputação de uma empresa distribuidora e do seu software podem fornecer informações sobre a atitude atual da empresa distribuidora e o comportamento do software.

Dependendo do histórico, um distribuidor tem um nível diferente de credibilidade.

Um fornecedor obtém baixa credibilidade ao:

  • Ser um infrator PUP recorrente.

  • Fingir ignorância relativamente aos critérios PUP.

  • "Testar" novas violações.

  • Introduzir programas de parceiros agressivos.

  • Dar prioridade ao lucro em detrimento do valor de utilização.

  • Utilizar nomes de produto muito genéricos que possivelmente nem sequer contêm um nome de empresa duradouro, ou fazer publicidade ao nome da empresa com o produto.

  • Ser descrito pelos utilizadores como enganador ou mesmo fraudulento.

  • Comunicar de forma rude, ameaçadora ou ofensiva.

  • Tentar contornar a deteção.

  • Fingir desconhecimento de tecnologias fundamentais.

Os fornecedores são capazes de obter uma elevada credibilidade no setor se …​

  • tiverem corrigido todas as violações PUP no passado ou nunca tiverem tido violações PUP

  • colocarem o benefício para o utilizador em primeiro plano.

  • cumprirem normas da indústria de software, como a CSA