Por dentro da carreira - e da cabeça - do analista de malware

Incansáveis e autodidatas nos estudos; gratos por natureza; bem pagos (pelo menos com possibilidade de); curiosos e determinados. Os detalhes de uma profissão em alta no Brasil e no mundo, pelo olhar do profissional e da indústria

Que tal uma carreira que pague muito bem, que não exija formação universitária, que permita o trabalho totalmente remoto, que seja de extrema utilidade para a sociedade, e que ainda possibilite trabalhar em comunidade, num fluxo de trocas com pessoas do mundo inteiro? Parece utopia, mas essas são algumas características da profissão de analista de malware, uma verdadeira joia rara no universo tecnológico atual.

A redação da Mente Binária conversou com profissionais da área e com um representante da indústria para mapear a quantas anda essa carreira ascendente - óbvio que nem tudo são flores -, que reserva muito espaço de crescimento para quem tem curiosidade e vontade de aprender constantemente.

"Eles estavam há cinco meses procurando alguém para a vaga e não achavam. O último ficou duas semanas e aceitou um convite melhor", diz José Silva*, nessa frase que resume todo o assunto. José, no auge de seus 20 anos, completa 1 ano como analista de malware de uma empresa de grandíssimo porte no Brasil, em formato CLT, 100% remoto.

Se você perguntar pra ele pra ele como ele chegou a conseguir um trabalho - e um salário (12k + benefícios e certificações pagas) - desejado por gente muito mais madura do que ele, ele vai responder algo assim: "Meu primeiro contato com segurança foi há 11 anos (ou seja, aos 9 anos de idade!). Eu mexia com coisas básicas de desenvolvimento, script simples, linguagem C e acabei encontrando um vídeo no YouTube sobre segurança e comecei a estudar", diz José, mostrando que se antecipou razoavelmente nos estudos da área.

Ele continua dando a pista do sucesso precoce que alcançou: "Na minha infância, meu pai sempre foi rígido sobre os estudos, então estudar já estava no meu estilo de vida. Aí eu achei um vídeo bem chamativo, 'como invadir um site'. Isso despertou minha curiosidade e eu nunca mais parei".

Foi assim que José - uma criança ainda - se embrenhou nos estudos da Engenharia Reversa e descobriu o CTF (Capture The Flag), seu grande aliado de carreira: além de adorar jogar o jogo, usava também como material de estudo e prática. Aliás, usa até hoje. Nas horas vagas é isso que ele faz: joga e aprimora seu repertório de soluções para usar no trabalho.

"Comecei a analisar malware por conta própria. Então, em 2021, conheci o Paulo Soares*, que também fazia engenharia reversa e, enfim, encontrei alguém para conversar sobre o assunto", lembra José. Um ano depois, Paulo - outro jovem de 23 anos - soube da vaga que José ocupa hoje e o recomendou.

Análise de malware exige compreender bastante coisa

Vamos, então, falar um pouco sobre Paulo e sua visão da carreira de analista de malware. Assim como José, não foi o estudo formal acadêmico que o colocou como um profissional de valor no mercado de segurança. Paulo trabalha com engenharia reversa e análise de malware há quatro anos, antes mesmo de completar 20 anos de idade.

Mas a baixa relevância da universidade na sua carreira não significa baixo nível de estudo. Muito pelo contrário. "Quem mexe com engenharia reversa tem que ter noção de arquitetura de computadores, de sistemas operacionais etc. A curva de aprendizado é difícil, comparando com Python. Não que seja fácil, mas, se comparar a curva de aprendizado de Python com Assemblying, com C, a abstração que essa linguagem dá é surreal", opina Paulo.

Tanto José, quanto Paulo enfatizam que conteúdos da comunidade, como viabiliza a Mente Binária, foram fundamentais para subirem sua régua de conhecimento. "Maratonei todos os vídeos do Papo Binário. Me encontrei ali. Paixão à primeira vista", conta Paulo. Ele e José já fizeram também todos os treinamentos de engenharia reversa oferecidos pela Mente Binária.

Hoje, Paulo está desbravando o universo da detection engineering. Numa empresa brasileira de grande porte, ele, hoje, realiza um trabalho tático e estratégico, gerando insumos para decisões executivas, detecção de ameaças, casos de uso e identificação de comportamentos, com ênfase em ransomware. Além disso, trabalha como free lancer para empresas estrangeiras em projetos de engenharia reversa.

Quanto ganham? Como trabalham? Recebem em US$?

Já que estamos poupando os entrevistados de terem suas identidades reveladas, ficamos à vontade para sondar seus salários e suas opiniões nesse assunto, já que estão o tempo todo sendo sondados por empresas locais e internacionais para suas vagas. Eis o que coletamos com nossas fontes:

"O salário é bom e ponto. Você não vai enriquecer, mas quanto mais experiente for, mais alto esse valor vai ficando", define Antonio Dias*, que está há poucos meses como engenheiro de pesquisa de ameaças sênior numa empresa norte-americana de segurança.
Antonio está neste mercado há seis anos e seu palpite é que o salário de um analista de malware no Brasil é similar ao de um especialista em outras áreas, ou seja, nunca abaixo de R$ 9 mil (pouco mais de US$ 20 mil/ano). "A média deve ser de entre 12 e 15 mil reais numa empresa brasileira, para uma pessoa que já tenha certa experiência no assunto, que não seja totalmente crua", opina ele.

Paulo, por sua vez, dá seu palpite sobre os ganhos de um analista de malware fora do Brasil. "Lá fora, um analista júnior ganha de US$ 90 mil/ano pra cima. Vi uma vaga para engenharia reversa junior no Google, on-site, em Cupertino (Califórnia/EUA) que era de US$ 140 mil/ano", conta. Na opinião dele, dentro das empresas de antivírus, que são as grandes contratantes desse tipo de profissional, o salário não fica abaixo dos US$ 150 mil/ano, traduzindo grosseiramente para mais de R$ 60 mil/mês…….

Mas não se engane quem acha que trabalhar para uma empresa internacional é fácil ou que seja a solução de todos os problemas. Nossos entrevistados são unânimes em dizer que as contratações de estrangeiros são mais raras e que o normal é que, mesmo se tratando de uma vaga remota, as empresas prefiram contratar pessoal local. "Geralmente exigem presencial ou híbrido e não pagam o visto ou seu deslocamento. No máximo, escrevem a carta de trabalho e você se vira com o resto", diz Paulo Soares*.

Antonio Dias, que hoje está numa empresa gringa, enxerga o mercado nacional como um polo ainda bastante fechado, sem grandes volumes de contratação. Daí a atratividade do brasileiro pelas oportunidades em estrangeiras. "Aqui a contratação é baixíssima, São pouquíssimas vagas e também pouca gente capacitada. Lá fora tem bastante", resume.

A charada difícil para uma pessoa ser contratada tem a ver com a dificuldade do trabalho X necessidade de experiência X escassez de pessoas especializadas. "Por ser uma área mais complexa, as empresas esperam essa complexidade do profissional. É raro a empresa topar contratar um iniciante, embora, na verdade, não exista analista de malware junior. Se a pessoa faz análise de malware, ela já não é iniciante, pela própria natureza da atividade. Ela pode ser mais ou menos experiente, mas já vem com muito conhecimento desde o início", explica Antonio.

Onde fica a Universidade no meio disso tudo?

100% dos nossos entrevistados não concluíram seus cursos de formação universitária, mas não se veem inimigos do ensino superior. Pelo contrário: reconhecem o valor, mas esperam mais da academia. Vale a pena conferir a íntegra de suas falas sobre o assunto:

"Tentei fazer ciência da computação (1 ano), mas o curso repetia tudo o que eu já tinha visto. Quando chegaram as linguagens de alto nível, comecei a achar entediante", opina José, aquele que começou a estudar segurança aos 9. Ele continua: "A faculdade é muito interessante, mas não da forma que ela é passada. Ela não passa o conteúdo explicando o seu uso, a sua aplicação. A teoria é importante, mas se não tiver a prática, fica monótono e você não vai saber agir com um caso real quando ele chegar", conclui.

Diante disso, José conta que está pensando em estudar Estatística. "Isso sim  pode me ajudar na engenharia reversa, no trabalho de descobrir vulnerabilidades no software e protegê-lo", planeja ele.

A visão de Antonio Dias é um pouco diferente. "No passado, eu tinha preconceito contra faculdade, por achar que não ensina nada sobre isso, mas tem uma exceção aí: Ela só não vai ajudar a ser um analista de malware, aquelas pessoas que já sabem tudo por fora. Mas se a pessoa não tem nenhuma afinidade com o assunto, a faculdade abre caminhos, é relevante para dar os primeiros passos, para entrar na área de tecnologia", avalia.

Apesar do curso não concluído de análise de sistemas, foi através da faculdade que Antonio se lançou no métier. "Um professor meu de redes me deu o caminho dos eventos. Meti as caras na H2HC (Hackers To Hackers Conference). Um pouco perdido, encontrei o Mercês (Fernando Mercês, idealizador da Mente Binária), assisti a uma palestra dele, comecei a interagir com ele e pedir dicas de estudo. E ele nunca mais soltou da minha mão", lembra o profissional.

Ele conta que, na época, fez o curso de engenharia reversa presencial da Mente Binária e "não entendi nem 50%, mas me apontou para muitas direções", brinca. Na sequência, começou a estudar e fuçar na internet, em blogs, vídeos, artigos, e muita prática. Quando fez a parte 2 do curso, já estava em outro nível de aproveitamento.

Ele reconhece, assim, que na análise de malware é preciso andar com as próprias pernas, já que a área envolve muito conhecimento integrado: base sólida de computação, algoritmos, programação em C/C++, estrutura de dados, redes, sistemas operacionais etc. "Tudo isso é necessário? Se você não tiver uma base sólida, você vai patinar 80% das vezes e vai travar frequentemente", opina Antonio, ao completar: "As travadas são por falta de conhecimento, na maioria das vezes. Mas uma vez que você já tenha uma base sólida, você vai cair cada vez menos e, se cair, você vai levantar mais rápido", orienta o especialista.

Quem disse que quem é de exatas não tem coração?

Um comportamento unânime entre os entrevistados - e de forma espontânea - tem a ver com gratidão. Todos eles reconhecem que nunca chegariam aos estágios atuais de suas carreiras sem a ajuda das pessoas e sem o suporte da comunidade. 

"Aprendi tudo com a comunidade, por quem eu sinto muita gratidão. Eu estou em dívida com a comunidade, porque se não fossem eles, eu não teria todo o conhecimento que eu tenho hoje. Isso ajuda muito quem está iniciando", reconhece José.

"Se não fossem as pessoas publicando e compartilhando, colocando à disposição, eu não saberia metade do que eu sei. Tive muita gente estendendo a mão para mim durante toda a minha jornada. Na H2HC conheci muita gente, no trabalho também. Não tem como não ser por conta disso. Isso é autossustentável, a gratidão é a coisa mais importante que existe", enfatiza Antonio Dias. "É muito raro uma pessoa aleatória da área não estar aberta a ajudar", conclui.

Devolvendo o aprendizado para a comunidade

Como não podia ser diferente, depois desse reconhecimento do crescimento conjunto, nossos entrevistados separaram dicas preciosas para quem está começando na análise de malware (mas vale pra muitas carreiras dentro e segurança, tá?). Vamos a elas:

• Trabalho gringo | Se você quer trabalhar fora do Brasil, precisa conversar, ter amizade com recrutadores de fora. Dá para usar o LinkedIn para isso. Fazer posts, mandar um "oi", conversar como numa rede social mesmo, só que com empresas. Se achar uma empresa interessante, converse com o pessoal de recrutamento para entender e até indicar pessoas. Você acaba fazendo amizades e contatos importantes;
• Estude, estude e estude | Fortaleça toda base teórica de computação: arquitetura de computação, sistemas operacionais, processadores, linguagem Assembly, como o sistema operacional gerencia a memória do computador, como funciona por baixo dos panos. Quando você tem essa base, você consegue aplicar para coisas mais avançadas. Você consegue entender o que está acontecendo de fato.
• Pratique, pratique e pratique | O máximo possível. Você pode fazer CTF (Capture The Flag) para se acostumar a usar ferramentas, não só para competir. Analise os malwares que a comunidade coloca à disposição. Todo dia eu faço uma análise de malware.
• Mente forte | Você precisa se acostumar muito com a frustração e ser persistente. Ser apaixonado é quase uma exigência, porque, se não, você desiste.
• Mostre sobre você | Conhecer pessoas é importante, assim como compartilhar seu trabalho. A partir do momento que você está na comunidade, as pessoas vão saber seu nome, saber quem você é. E quando você cria um blog, compartilha suas ideias, todo esse esquema de aprendizagem junto é um jeito de chegar até a entrevista.
• Entrevista não é um monstro | Participei de algumas, tanto concorrendo a uma vaga, quanto contratando pessoas. Posso dizer com certeza que se a pessoa sabe o conteúdo de análise de malware dos cursos da Mente Binária de forma sólida, está bem preparada para entrar num cargo de análise de malware no Brasil ou fora.

* Os nomes dos entrevistados até aqui são fictícios. Mantivemos suas identidades e empresas preservadas, afinal, o importante mesmo era o conteúdo de suas mentes.

Visão de quem contrata

De forma muito gentil, o Fabio Assolini, diretor da Equipe Global de Pesquisa e Análise da Kaspersky para a América Latina, topou responder algumas perguntas que a redação enviou. Neste resumo da entrevista com ele, a ideia é entender a visão da indústria sobre os profissionais de análise de malware.

Quantos analistas de malware existem na equipe local hoje?

Fabio: Temos muitas equipes, com funções específicas. A equipe global envolvida apenas na análise de malware e desenvolvimento de tecnologias de detecções possui mais de 200 membros. A equipe global de threat intel tem mais de 40 analistas, com 6 na América Latina.

Em todas essas equipes, a análise de malware é o conhecimento básico para o desenvolvimento do trabalho diário.

Com relação à qualidade dos profissionais de análise de malware, são especialistas de contratação fácil ou são difíceis de encontrar?

Fabio: A contratação é difícil. Alguns mercados são mais fáceis, outros nem tanto. Uma posição ficou aberta por 13 meses, até encontrarmos o profissional ideal.

Uma vez contratados, como é para manter esses profissionais em casa? A concorrência é grande na disputa por eles?

Fabio: São profissionais bastante disputados pelo mercado, que recebem propostas de trabalho de outras empresas. Geralmente, esse tipo de profissional pode escolher onde trabalhar.

Como é o regime de trabalho na Kaspersky?

Fabio: Em nossa equipe, somos 100% remotos.

Como tem sido o processo de manter bons profissionais? E como fica a concorrência com oportunidades de trabalho no exterior?

Fabio: É importante oferecer um plano de carreira, desenvolvimento pessoal, trabalho em equipe, salário competitivo, além de um bom pacote de benefícios a fim de retê-los.

Existe um turnover alto desse tipo de profissional?

Fabio: Em nosso caso, não. Nos esforçamos para oferecer um ambiente de trabalho agradável e focado no desenvolvimento pessoal do analista. Em nosso departamento, a média de tempo de um analista na equipe é de, no mínimo, 8 anos. Temos profissionais com mais de 15 anos de casa.

No momento há vagas para analistas de malware em aberto na Kaspersky?

Fabio: Sim, nesse momento temos algumas posições abertas na equipe europeia (França) e asiática (Japão). Porém, é importante observar que damos preferência para profissionais locais, que morem nesses países. Apesar da equipe ser remota, acreditamos que o conhecimento e a presença de um local faz toda a diferença. Ninguém analisa malware chinês melhor que um analista da China.

Como é a questão da educação formal na área de tecnologia para contratações?

Fabio: Não exigimos uma educação formal para a contratação. Um candidato sem formação e outro com formação serão avaliados de forma igualitária. Como o processo de contratação envolve provas práticas, avaliamos o background do candidato e suas experiências anteriores na função.

Quais as características fundamentais para a contratação de um analista de malware, na sua visão?

Fabio: (1) Saber trabalhar em equipe; (2) Ser ético: jamais ultrapassar as linhas do que é certo; (3) Ter paixão pela área: entender que por trás de cada malware existem muitas vítimas e um malfeitor e que nós temos a missão de desvendar as ações do malware e criar proteção para quem confia em nossos produtos; (4) Ter vontade de aprender e crescer; (5) Ser humilde, entender quando está errado e aceitar sugestões vindas de colegas mais experientes; (6) Ser disciplinado, especialmente no trabalho remoto; (7) Ser fluente no inglês ou outros idiomas necessários, não só falado mas também escrito; (8) Saber escrever bem: de nada adianta fazer uma análise completa, sem saber colocar isso no papel. (9) Saber se comunicar: desenvolver a didática que lhe permitirá explicar assuntos complexos para leigos.

***

Fabio Assolini deixa uma última reflexão para os apaixonados pelo mercado de análise de malware: "Talvez você se pergunte: o conhecimento técnico não é importante? Sim, é muito importante, ele é exigido nas contratações. Porém, de nada adianta um analista completo na parte técnica, sem as qualidades descritas acima. Essas características se complementam. As soft skills, somadas à parte técnica, fazem o analista completo.

Lembrando que as inscrições para a turma de Novembro do nosso treinamento Modern Malware Analysis online estão abertas! Restam poucas vagas! 😉