Bloqueando anúncios maliciosos na rede de casa
Dois caminhos testados: um pra quem só tem o PC com Windows, outro pra quem pegou um dos Raspberry Pi. A escolha fica no fim desta página.
No vídeo que rolou no grupo, um anúncio comum entregava spyware sem a pessoa clicar em nada. Ele foi comprado nas mesmas redes de anúncio que todo site usa, e só precisava aparecer na tela. Bloquear anúncio deixou de ser só conforto e virou uma camada de segurança.
01O que aconteceu
O Citizen Lab (Universidade de Toronto) publicou em 15/10/2026 como uma empresa chamada Discover-Tech comprava espaço de anúncio normal. O código do anúncio perguntava a um servidor deles se aquele aparelho era um alvo. Quem não era alvo recebia uma resposta vazia. Quem era recebia o código que abria caminho pro spyware da Candiru.
- Pelo menos 45 aparelhos ligados à Al Jazeera foram alvo em 2024 e 2025, e o Citizen Lab confirmou infecções.
- Em quatro meses de registros, os anúncios apareceram em cerca de 75 mil apps e 120 mil sites.
- O vídeo do grupo: “Internet Ads Are Now Hacking Your Computer...”
É ataque direcionado a alvos escolhidos, então o risco pra gente é baixo. Só que o mecanismo é o de qualquer anúncio, e a defesa genérica também: não deixar o anúncio carregar. O próprio Citizen Lab recomenda bloquear no aparelho e na rede.
02Como um bloqueador de DNS funciona
Todo site, app e anúncio começa com uma pergunta do seu aparelho: “qual o endereço deste nome?”. Quem responde é um servidor de DNS, normalmente o da operadora. Um bloqueador de DNS se coloca no meio desse caminho com uma lista de nomes conhecidos de anúncio, rastreamento e malware.
Se o nome está na lista, ele responde que o endereço não existe. O anúncio nunca chega a carregar, e isso vale pra qualquer aparelho que pergunte pra ele: PC, celular, TV.
O Pi-hole é o bloqueador mais conhecido. O AdGuard Home faz a mesma coisa. Os dois são grátis e de código aberto, e usam as mesmas listas.
03O que ele bloqueia, e o que não
| O quê | Bloqueia? | Por quê |
|---|---|---|
| Anúncio na maioria dos sites e apps | Sim, a maior parte | Vêm de domínios de redes de anúncio que as listas conhecem. |
| Domínios de malware conhecidos | Sim, se a lista conhecer | Veja a conferência logo abaixo. |
| Anúncio do YouTube | Não | O YouTube entrega o anúncio pelos mesmos servidores do vídeo. Bloquear um derruba o outro. No navegador, o uBlock Origin resolve. |
| Anúncio do Spotify | Não conte | O app também usa servidores próprios. Às vezes some alguma coisa, mas não é confiável. |
| Anúncio no feed do Instagram e do Facebook | Não | São posts servidos pelo próprio app. |
| Celular fora de casa | Só com VPN | O bloqueador só vê o que passa pela sua rede. O guia do Raspberry Pi resolve isso com o Tailscale. |
A lista importa mais que o programa
Em 16/10/2026 eu conferi os 8 domínios que a Discover-Tech usou pra entregar o ataque contra as listas que já vêm ligadas por padrão:
| Lista | Dos 8 domínios do ataque, bloqueia |
|---|---|
| StevenBlack (padrão do Pi-hole) | 0 |
| AdGuard DNS filter (padrão do AdGuard Home) | 2 |
| HaGeZi Pro | 8 |
Os servidores da Candiru (a segunda etapa) não estão em nenhuma lista pública, porque trocam de endereço o tempo todo. Por isso os dois guias ligam a HaGeZi Pro e a lista de ameaças do mesmo autor (Threat Intelligence Feeds), em vez de ficar só no padrão.
04Três camadas, cada uma cobre um buraco da outra
- No navegador. uBlock Origin no Firefox, a versão completa. O Brave já vem com bloqueador. No Chrome só sobrou o uBlock Origin Lite, e o Edge vai pelo mesmo caminho até o fim do ano. O Lite é mais limitado, mas ainda ajuda. O Privacy Badger complementa contra rastreadores.
- Na rede. Um dos dois guias abaixo. Pega também o que roda fora do navegador: apps, TV, o celular de visita.
- Tudo atualizado. Windows, celular e navegador. Ataque “zero clique” depende de falha no sistema, e atualização é o que fecha a falha. O Windows 10 parou de receber atualização de segurança: se o PC aguenta o 11, vale migrar.
05Escolha seu caminho
AdGuard Home no Windows
- Protege este PC.
- Uns 20 minutos, nada pra comprar.
- Pra proteger a casa toda, o PC precisaria ficar ligado 24 horas.
Pi-hole no Raspberry Pi
- Protege a casa toda: PC, celular, TV.
- Uns 45 minutos. Precisa da fonte certa e, de preferência, um cabo de rede.
- Com o Tailscale, protege o celular fora de casa também.
| Windows (AdGuard Home) | Raspberry Pi (Pi-hole) | |
|---|---|---|
| Protege | Este PC | Todos os aparelhos da rede |
| Precisa ficar ligado | Só o próprio PC | O Pi, 24 horas (gasta poucos watts) |
| Tempo de instalação | ~20 min | ~45 min |
| Custo | Zero | Zero com o Pi doado, ou a fonte |
| Manutenção | Clicar em “Atualizar agora” quando aparecer | Um comando por mês |
| Se ele parar | Só este PC fica sem internet | A casa toda fica sem internet até você desfazer (o guia mostra como) |
E a VPN? O Surfshark resolve?
Resolve boa parte. O Surfshark tem o CleanWeb, que bloqueia anúncio e domínio malicioso enquanto a VPN está ligada. É o caminho mais rápido e já funciona fora de casa. O custo é a assinatura, e quem escolhe a lista é ele, não você.
Se você já paga uma VPN, ligar o bloqueio dela é a primeira coisa a fazer hoje. Só saiba que, com a VPN ligada, o aparelho passa a usar o DNS dela. O bloqueador de casa deixa de ver esse aparelho, e tudo bem.
Por que não o próprio Pi-hole no Windows?
O Pi-hole só roda em Linux. Dá pra subir ele no Docker Desktop, mas no Windows ele perde o endereço de cada aparelho (todo mundo aparece como 172.17.0.1). Ele também briga com o WSL pela porta 53 e para quando o Docker não sobe. O AdGuard Home faz o mesmo trabalho, roda nativo como serviço do Windows e tem botão de atualizar. Pra quem quer Pi-hole de verdade, o caminho é o Raspberry.
06Perguntas que apareceram no grupo
Lista de bloqueio de DNS tem online?
Tem, de graça. A que eu recomendo é a do HaGeZi, que é atualizada com frequência e separa bem anúncio de ameaça. OISD e StevenBlack também são conhecidas. Os dois guias já dizem quais marcar, e o programa baixa e atualiza sozinho.
Bloqueia anúncio do YouTube e do Spotify?
Do YouTube, não: o anúncio vem do mesmo servidor do vídeo. Do Spotify, não conte com isso. Pra YouTube no PC, use o uBlock Origin no Firefox. No Android, o Firefox também aceita o uBlock Origin.
Só o adblock no navegador já não basta?
No navegador ele é melhor que o DNS, porque entende a página. Mas não pega app, TV, nem o navegador do celular de todo mundo da casa. As duas coisas se completam.
O que mais precisa pro Raspberry? Fonte? HD?
HD não precisa. Precisa do cartão SD, e o que vem com o Pi doado serve. Também precisa da fonte certa pro modelo e, de preferência, de um cabo de rede até o roteador. O guia do Raspberry tem a tabela de fontes.
O PC tem que ficar ligado?
Só se ele for proteger outros aparelhos. Pra proteger o próprio PC, ele funciona enquanto o PC está ligado, que é quando importa. Pra casa toda, o Raspberry Pi é a ferramenta certa.