Arquivos criados com a t\u00e9cnica poliglota t\u00eam aparecido cada vez mais em ciberataques nos \u00faltimos anos. Eles permitem que os invasores fa\u00e7am o malware passar pelos filtros de e-mail e pelos verificadores de arquivos, enganem as v\u00edtimas em ataques de phishing e dificultem as investiga\u00e7\u00f5es de incidentes. Para conseguir isso, os invasores constroem deliberadamente um arquivo que o sistema pode interpretar como formatos diferentes, dependendo do aplicativo em que ele \u00e9 aberto.\u00a0 Um exemplo cl\u00e1ssico \u00e9 um arquivo que pode ser tratado como uma imagem PNG ou um arquivo ZIP. Basta alterar a extens\u00e3o do arquivo ou simplesmente usar um ou outro aplicativo para abri-lo.<\/p>\n
Vamos entender por que \u00e9 poss\u00edvel criar arquivos desse tipo, quais combina\u00e7\u00f5es de formatos j\u00e1 foram usadas em ataques reais e como as organiza\u00e7\u00f5es podem se proteger contra essa amea\u00e7a.<\/p>\n
Os formatos de dados por tr\u00e1s dos arquivos poliglotas raramente s\u00e3o ex\u00f3ticos. Tudo se resume a uma combina\u00e7\u00e3o inteligente de formatos comuns que s\u00e3o estruturalmente compat\u00edveis. Os poliglotas exploram pelo menos uma das seguintes peculiaridades em determinados formatos de arquivo:<\/p>\n
O reposit\u00f3rio Polydet<\/a> no GitHub apresenta v\u00e1rios exemplos de combina\u00e7\u00f5es poss\u00edveis de arquivos para criar um arquivo poliglota. De acordo com a classifica\u00e7\u00e3o da MITRE, essa t\u00e9cnica se enquadra na categoria Masquerading (T1036.008<\/a>, Masquerade File Type).<\/p>\n An\u00e1lises de campanhas de malware dispon\u00edveis publicamente revelam diversos tipos de arquivos poliglotas. Os invasores adaptam todo o cen\u00e1rio do ataque a uma combina\u00e7\u00e3o espec\u00edfica de tipos de arquivo.<\/p>\n O grupo Head Mare entregou o malware PhantomPyramid<\/a> como um anexo ZIP. O arquivo consistia em c\u00f3digo execut\u00e1vel do Windows (EXE), com um pequeno arquivo ZIP concatenado ao final. Quando a v\u00edtima abriu o arquivo compactado, ele continha um arquivo com a extens\u00e3o PDF.LNK que, ent\u00e3o, iniciava esse mesmo anexo poliglota, desta vez como um arquivo execut\u00e1vel.<\/p>\n No ataque documentado pela JPCERT<\/a>, os invasores criaram um arquivo que come\u00e7ava como PDF e era detectado como PDF pela maioria dos verificadores, mas tinha uma extens\u00e3o DOC e era aberto nos aplicativos do Office como um arquivo DOC v\u00e1lido contendo macros maliciosas.<\/p>\n Os ataques que disseminaram os cavalos de Tr\u00f3ia StrRAT e Ratty<\/a> usaram um arquivo poliglota criado a partir de um pacote de instala\u00e7\u00e3o assinado do Windows (MSI), com c\u00f3digo Java malicioso (JAR) anexado ao final.<\/p>\n Os ataques do StrelaStealer<\/a> usaram um arquivo poliglota com extens\u00e3o HTML: uma biblioteca do Windows (DLL) com um documento HTML de chamariz concatenado ao final. Um atalho no arquivo compactado iniciou o arquivo duas vezes: uma vez por meio do comando start (o equivalente a um clique duplo, que abriu um navegador exibindo o documento HTML) e outra por meio do rundll32 (que iniciou a DLL maliciosa).<\/p>\nExemplos de arquivos poliglotas em ciberataques conhecidos<\/h2>\n