Abrir ou não abrir: os anexos de e-mail que colocam você em risco

Você já tentou abrir um e-mail “criptografado” ou um documento urgente, apenas para perceber com horror que o anexo DOCX é, na verdade, um arquivo com a extensão .docx.exe? Ou talvez você tenha recebido um e-mail supostamente com uma fatura, contrato ou memorando interno anexado, mas o arquivo se revelou algo totalmente diferente do que alegava ser? Em caso afirmativo, você provavelmente foi alvo de uma tentativa de infecção por malware.

Os cibercriminosos costumam disfarçar arquivos maliciosos como documentos e arquivos comprimidos inofensivos, apostando em destinatários que clicam sem verificar a extensão. Os especialistas da Kaspersky analisaram os formatos de arquivo mais usados em campanhas de e-mail maliciosas para revelar o que realmente se esconde por trás dessas extensões e como os invasores as usam como arma em suas campanhas.

Nota importante: as extensões de que falaremos aqui são usadas no dia a dia em arquivos completamente legítimos. Por exemplo, os executáveis do Windows normalmente terminam em .exe. No entanto, vamos nos concentrar nos cenários específicos em que os invasores disfarçam ou falsificam a extensão de um arquivo para fazê-lo passar por um tipo de arquivo totalmente diferente.

Quais extensões são mais comumente encontradas em malwares?

Nossos especialistas analisaram campanhas de e-mail maliciosas desde o início de 2026 para identificar as 15 extensões de arquivo perigosas mais comuns.

.exe

.js

.html

.dll

.bat

.vbs

.xls

.pdf

.jse

.au3

.docx

.htm

.wsf

.scr

.lnk

<div class=”wp-caption aligncenter”><p class=”wp-caption-text”>As 15 principais extensões de arquivo usadas em investidas com e-mails maliciosos</p></div>

Vamos dar uma olhada no que os arquivos com essas extensões realmente fazem nos bastidores.

Arquivos executáveis

Um arquivo executável é um programa de computador compilado que está pronto para ser executado. Uma vez iniciado, um executável malicioso pode baixar cargas adicionais, alterar configurações do sistema, roubar dados do usuário, conectar seu dispositivo a servidores externos controlados por invasores e muito mais. Estas são as extensões de arquivos executáveis mais comuns encontradas em campanhas de e-mail maliciosas:

• .exe
• .dll
• .com
• .scr

.exe

A extensão executável clássica do Windows. Ele é usado por todos os programas que você usa diariamente, desde navegadores da Web e jogos até suítes de escritório e instaladores de software.

A propósito, os invasores geralmente usam extensões duplas para disfarçar o malware EXE: invoice.docx.exe, report.pdf.exe ou até mesmo photo.jpg.exe. Eles aproveitam uma configuração padrão do Windows: ocultar extensões para tipos de arquivo conhecidos. Como essa configuração vem ativada por padrão, os usuários veem apenas a primeira parte do nome do arquivo, invoice.docx, report.pdf ou photo.jpg, e supõem que é apenas um documento ou imagem normal. Mas assim que você abre esse arquivo-armadilha, o malware é acionado.

.dll

Outra extensão comum usada indevidamente em campanhas maliciosas é .dll (biblioteca de vínculo dinâmico). Essas bibliotecas contêm funções que os programas do Windows frequentemente requerem durante a execução, como para imprimir um documento. Essa arquitetura modular evita o código redundante, permitindo que vários aplicativos chamem exatamente a mesma biblioteca para tarefas específicas. No entanto, se um invasor substituir uma biblioteca legítima por uma infectada, a execução de qualquer programa normal que a chame pode acionar um código malicioso.

.com

Embora os arquivos com a extensão .com não tenham nada a ver com o domínio da Web de mesmo nome, os cibercriminosos provavelmente esperam que as vítimas confundam esses arquivos com links em um formato incomum. Na realidade, é um formato executável herdado do Windows.

Embora as versões modernas do Windows não dependam mais desse tipo de arquivo, o sistema operacional ainda pode executá-lo, o que torna a abertura de um desses uma péssima ideia.

.scr

Os arquivos SCR são protetores de tela, as animações de tela do Windows exibidas quando o computador está ocioso, com padrões abstratos, o icônico logotipo saltitante ou qualquer outra coisa. Apesar de sua reputação inofensiva, os protetores de tela são essencialmente executáveis, assim como os arquivos EXE: uma vez abertos, eles podem instalar componentes extras ou alterar as configurações do sistema da mesma forma. Em campanhas maliciosas, esses arquivos rotineiramente se disfarçam de imagens, capturas de tela ou documentos.

Scripts

Scripts são arquivos de texto que contêm uma sequência de comandos que um computador executa automaticamente, na ordem definida. Eles podem baixar arquivos, instalar e iniciar programas, modificar configurações de segurança e muito mais. Os invasores de e-mail recorrem aos seguintes tipos de script com mais frequência:

• .js e .jse
• .bat
• .cmd
• .vbs
• .wsf
• .vbe
• .au3

.js e .jse

As extensões .js e .jse são usadas por arquivos JavaScript. A maioria dos usuários associa o JavaScript estritamente a sites e não percebe que esses arquivos podem ser executados localmente em seus computadores como programas independentes.

Recentemente, escrevemos sobre o CrystalX RAT, um Cavalo de Troia de acesso remoto que registra as teclas digitadas, rouba o conteúdo da área de transferência e injeta componentes maliciosos nos navegadores da Web após a instalação. Seus scripts JS monitoraram endereços de carteira de criptomoedas e os trocaram silenciosamente com os do próprio invasor para sequestrar transações em tempo real.

.cmd e .bat

Os arquivos BAT e CMD são projetados para automatizar tarefas no Windows e podem executar praticamente qualquer comando no sistema operacional. Iniciar um arquivo como esse pode infectar seu computador com malware.

.vbs

Arquivos de Visual Basic Script com a extensão .vbs são os favoritos de longa data entre os cibercriminosos. Os invasores frequentemente usam extensões duplas para disfarçar arquivos .vbs como documentos de texto simples, como faturas, guias de instalação de aplicativos ou e-mails. Por exemplo, no início dos anos 2000, o icônico worm ILOVEYOU se espalhou por meio de um script VBS, infectando milhões de computadores em todo o mundo. As vítimas receberam um e-mail com o assunto “ILOVEYOU”, mas em vez de uma doce confissão, o anexo continha um script malicioso. No auge, esse worm “romântico” infectou até 10% de todos os computadores conectados à Internet.

Arquivos da Web

Esta categoria inclui principalmente arquivos .html, .htm, .hta e .svg. Muitas vezes, são páginas de phishing disfarçadas, projetadas para imitar formulários de login para e-mail, serviços em nuvem, aplicativos bancários e outras plataformas. Naturalmente, quaisquer credenciais inseridas nessas páginas falsas são enviadas diretamente aos invasores que buscam acessar suas contas e seu dinheiro. Os arquivos da Web também podem acionar scripts maliciosos e baixar cargas úteis adicionais em seu sistema.

Arquivos comprimidos

Os cibercriminosos normalmente empacotam arquivos maliciosos dentro de arquivos comprimidos (mais comumente com as extensões .zip, .rar e .7z). Esses arquivos comprimidos geralmente são protegidos por senha ou criptografados para impedir a verificação de conteúdo. Além disso, os invasores às vezes criam arquivos comprimidos intencionalmente corrompidos com estruturas de dados danificadas: os filtros de segurança básicos geralmente não conseguem lidar com arquivos corrompidos e deixam de verificá-los por completo, enquanto os gerenciadores de arquivos comprimidos podem reparar e descompactar automaticamente o conteúdo mesmo assim.

É por isso que recomendamos o uso de soluções de segurança avançadas que podem detectar e-mails de phishing e impedir que você execute arquivos perigosos ocultos dentro de arquivos comprimidos.

Arquivos PDF (.pdf)

Para muitos, o PDF parece um formato de arquivo completamente inofensivo, afinal, o que poderia dar errado com passagens aéreas, documentos e apresentações de slides? Mas além do texto e das imagens estáticas, os PDFs podem hospedar links clicáveis, formulários e até scripts.

O código malicioso em um PDF geralmente é escondido atrás de elementos visuais ou incorporado como texto oculto. Além disso, o risco não vem apenas do arquivo em si, mas também do software usado para visualizá-lo: por exemplo, invasores passaram meses explorando uma vulnerabilidade no Adobe Acrobat que lhes permitia executar arquivos PDF maliciosos remotamente. Se você trabalha regularmente em documentos PDF, assegure-se de que o recurso JavaScript esteja desativado no Adobe Acrobat. Para fazer isso, vá para Preferências → JavaScript no menu.

A propósito, os usuários frequentes de agentes de IA e chatbots devem ter em mente que a IA frequentemente cai em injeções de prompt: comandos ocultos enterrados dentro de imagens, texto e páginas da Web que a IA interpreta como instruções legítimas e executa sem o seu conhecimento.

Atalhos LNK (.lnk)

Arquivos com a extensão .lnk são atalhos padrão do Windows que usamos todos os dias para acesso rápido a aplicativos e pastas. Por si só, os atalhos não contêm nenhum software, eles simplesmente informam ao Windows qual arquivo abrir ou qual comando executar.

No entanto, um invasor pode atribuir a um atalho qualquer ícone e qualquer nome que desejar, ocultando completamente seu destino real. Assim que a vítima clica no atalho, a cadeia de infecção é iniciada. O código malicioso costuma ser executado em silêncio em segundo plano, não deixando praticamente nenhuma pista visual de que algo deu errado.

Os cibercriminosos também gostam de ocultar arquivos LNK atrás de extensões duplas, apostando que os usuários não prestarão atenção suficiente para perceber que tipo de arquivo estão realmente abrindo. Veja um exemplo clássico:

O ideal é evitar clicar em arquivos LNK recebidos: ninguém em sã consciência tem um motivo para enviar um atalho na área de trabalho por e-mail.

A propósito, se você não atualiza o Windows há algum tempo, temos más notícias: o código malicioso pode ser executado automaticamente sem que você clique no LNK, basta abrir a pasta onde ele se encontra para acioná-lo. A Microsoft finalmente lançou um patch para essa vulnerabilidade explorada há muito tempo em dezembro de 2025. Portanto, não adie as atualizações do sistema, instale-as regularmente para corrigir as brechas de segurança que os invasores aproveitam.

Documentos do Microsoft Office

.xls e .xlsx

A extensão de arquivo .xls é usada por versões mais antigas do Microsoft Excel. Milhões de pessoas usam planilhas do Excel todos os dias, e muitas ainda usam softwares desatualizados, o que torna os arquivos XLS uma isca favorita para os cibercriminosos. Orçamentos, listas de funcionários, registros financeiros, relatórios urgentes e outras planilhas deixam de ser inofensivas no momento em que o usuário clica em Habilitar conteúdo, permitindo que o programa execute macros: scripts personalizados do Microsoft Office e comandos incorporados nos arquivos. Uma vez permitida, a macro maliciosa pode livremente baixar arquivos, iniciar programas, coletar dados do sistema e alterar configurações.

Ao contrário do XLS, o XLSX é o formato moderno do Excel, que não é compatível com macros incorporadas por padrão. Infelizmente, isso não garante segurança completa: a planilha ainda pode obter dados de fontes externas e conectar-se automaticamente a destinos da Web em segundo plano.

.docx

Embora os arquivos DOCX modernos não sejam compatíveis com macros por padrão, os invasores há muito descobriram outras maneiras de usar esses documentos para fins maliciosos. Normalmente, os arquivos DOCX maliciosos contêm links incorporados ou instruções que forçam o Word a entrar em contato com servidores externos e baixar cargas maliciosas. Em 2023, por exemplo, os pesquisadores descobriram uma vulnerabilidade do Microsoft Office que permitia que os invasores acionassem ferramentas internas do sistema Windows e baixassem malware diretamente da Web.

Para reduzir o risco ao trabalhar com aplicativos do Microsoft Office, recomendamos ativar o Modo de Exibição Protegido, bloquear conexões externas e desativar todas as macros sem notificação de execução.

O suporte a macros no Microsoft Office moderno

As macros são sequências de comandos que automatizam tarefas complexas e repetitivas no Excel, Outlook, Word e PowerPoint. Nas versões modernas do Microsoft Office, os documentos que contêm macros incorporadas são salvos em formatos de arquivo especializados com extensões como .xlsm, .xltm, .xlsb, .docm e .pptm. Embora o Microsoft Office inclua controles de segurança integrados, como bloquear arquivos baixados da Web e avisar você sobre macros potencialmente perigosas, se você não usar macros e não tiver um motivo específico para executá-las, trate os arquivos com essas extensões com cuidado.

Como verificar se um arquivo é seguro

• Use um pacote de segurança abrangente que verifica automaticamente arquivos em busca de malware, evita infecções, bloqueia visitas a sites suspeitos e remove completamente arquivos maliciosos dos seus dispositivos. Aproveite uma avaliação de 30 dias do Premium se você precisar urgentemente desinfectar seu computador ou verificar um arquivo quanto à presença de vírus.
• Não abra anexos de remetentes desconhecidos. A curiosidade pode custar muito caro, já que muitas linhagens de malware buscam especificamente dados de cartões de crédito e carteiras de criptomoedas. Deixe que o recurso Antivírus de E-mail, incluso em nossas soluções de segurança, faça o trabalho pesado: ele filtra automaticamente e-mails maliciosos ou suspeitos e protege você contra ataques de phishing.
• Examine os e-mails recebidos com cuidado: os cibercriminosos se tornaram hábeis em disfarçar mensagens maliciosas. Sempre verifique os endereços de e-mail comparando-os com os endereços oficiais e tenha em mente os sinais de phishing e spam. Os criminosos podem tentar assustar você com alegações de invasão de conta, atraí-lo para sites duvidosos com “ofertas imbatíveis” ou pedir que revise um documento de trabalho anexado ao e-mail. Qualquer tentativa de manipular suas emoções é um forte sinal de alerta de que alguém está tentando enganar você.
• Nunca abra arquivos com extensões duplas. É quase sempre uma armadilha.
• Se você encontrar um arquivo com uma extensão desconhecida, reserve um momento para pesquisar sobre ela na Internet. Lembre-se: uma foto ou um documento de texto simples nunca terá uma extensão .lnk ou .vbs.

Confira nossas outras postagens sobre segurança de e-mail e arquivos:

• Spam para iniciantes: o que é o spam e como acabar com ele
• O que fazer ao receber um e-mail de phishing
• Invasores exploram AppSheet para roubar dados e credenciais
• Como verificar códigos QR em e-mails
• Como converter arquivos com segurança