Existe vírus que desativa o firewall e o antivírus do Windows sozinho?

Sim, é uma técnica real e bem documentada, usada principalmente por ransomware e trojans de acesso remoto (RATs) como uma das primeiras ações depois de infectar o sistema — o objetivo é remover a "vigilância" antes de executar a parte mais danosa do ataque. Existem algumas formas comuns de fazer isso:

• Alteração direta de configurações do Windows: desativar o Windows Defender e o Firewall via linha de comando ou alterações no registro, quando o malware consegue rodar com permissões administrativas.
• Encerramento forçado de processos: alguns malwares mantêm uma lista dos processos de antivírus mais comuns e tentam finalizá-los repetidamente assim que detectam que foram reiniciados.
• Técnica "BYOVD" (Bring Your Own Vulnerable Driver): uma técnica mais sofisticada, usada por ameaças mais avançadas, que instala um driver legítimo (mas com uma vulnerabilidade conhecida) para conseguir desativar proteções de segurança com privilégios de nível de sistema, contornando até defesas mais robustas.
• Engenharia social: convencer o próprio usuário a desativar a proteção manualmente, disfarçado de instrução de "suporte técnico" ou como parte da instalação de um programa pirata/crack.

Sinais de alerta:

• O antivírus ou firewall aparece desativado sem você ter feito isso.
• Central de Segurança do Windows mostra um alerta que "desaparece" sozinho ou não consegue ser reativado.
• O antivírus trava ou fecha sozinho repetidamente ao tentar abrir.

O que fazer: a maioria dos antivírus modernos tem um recurso de proteção contra adulteração (tamper protection), que exige autenticação extra pra desativar a proteção — vale confirmar que está ativado. Se você notar o antivírus desligado sem explicação, trate como um incidente sério: desconecte a máquina da rede e busque uma análise antes de simplesmente reativar e seguir usando normalmente.