{"id":25338,"date":"2026-09-24T08:07:18","date_gmt":"2026-09-24T11:07:18","guid":{"rendered":"https:\/\/www.kaspersky.com.br\/blog\/?p=25338"},"modified":"2026-09-22T08:11:19","modified_gmt":"2026-09-22T11:11:19","slug":"exotic-file-formats-detection-gaps-iso-one-xll-svg","status":"publish","type":"post","link":"https:\/\/www.kaspersky.com.br\/blog\/exotic-file-formats-detection-gaps-iso-one-xll-svg\/25338\/","title":{"rendered":"Arquivos ex\u00f3ticos: fontes inesperadas de amea\u00e7as cibern\u00e9ticas"},"content":{"rendered":"

Os threat actors desenvolvem constantemente novos esquemas de ataque, desde roubo de token OAuth<\/a> at\u00e9 ataques a agentes de IA<\/a>, mas os m\u00e9todos cl\u00e1ssicos nunca saem completamente de seu repert\u00f3rio. Em qualquer dia, um funcion\u00e1rio pode receber malware anexado diretamente a um e-mail ou \u00e0 espreita atr\u00e1s de um link incorporado em um e-mail. Tornar esses ataques bem-sucedidos ainda requer um grau de criatividade e, nos \u00faltimos anos, os invasores adotaram cada vez mais formatos de arquivo ex\u00f3ticos. Os usu\u00e1rios n\u00e3o consideram esses formatos perigosos; mais importante ainda, muitas solu\u00e7\u00f5es de EDR e de seguran\u00e7a de e-mail ignoram totalmente esses formatos. No entanto, eles provaram ser altamente eficazes na implementa\u00e7\u00e3o de malware ou na coleta de credenciais.<\/p>\n

A seguir est\u00e3o os tipos de arquivo que podem representar pontos cegos na estrat\u00e9gia de detec\u00e7\u00e3o da sua organiza\u00e7\u00e3o, apesar de j\u00e1 terem sido observados em ataques cibern\u00e9ticos reais.<\/p>\n

Imagens de disco<\/h2>\n

Essa \u00e9 a categoria de anexos mais ampla e perigosa. Uma imagem de disco pode conter um conjunto de arquivos totalmente preparado e corretamente estruturado, adaptado a uma ampla variedade de cen\u00e1rios de ataque. Ela \u00e9 montada como um volume separado (disco virtual independente) e, nesse processo, geralmente usa ferramentas integradas ao sistema operacional. A v\u00edtima n\u00e3o precisa descompactar nada nem criar diret\u00f3rios suspeitos no disco.<\/p>\n

O formato mais vers\u00e1til \u00e9 o ISO, herdado da era dos CDs multim\u00eddia. As imagens ISO s\u00e3o montadas nativamente em todos os principais sistemas operacionais, sem a necessidade de utilit\u00e1rios adicionais, seja por meio de ferramentas simples, como o Explorador de Arquivos, ou pela interface de linha de comando. \u00c9 exatamente por isso que os threat actors enviam arquivos ISO como anexos de e-mail sem hesitar<\/a>.<\/p>\n

Os cont\u00eaineres IMG s\u00e3o um pouco menos comuns; eles tamb\u00e9m podem ser montados sem ferramentas adicionais no macOS ou Linux, mas exigem a instala\u00e7\u00e3o de um pequeno utilit\u00e1rio gratuito, como o OSFMount, no Windows, ou o uso do WSL2 (Windows Subsystem for Linux), que vem integrado \u00e0s vers\u00f5es recentes do Windows. Um arquivo com conte\u00fado id\u00eantico pode ter a extens\u00e3o DD.<\/p>\n

Os threat actors tamb\u00e9m usam VHD<\/a>, um formato de disco virtual nativo do Windows que tamb\u00e9m funciona em m\u00e1quinas Linux (via qemu-nbd ou guestmount). No macOS, por\u00e9m, um utilit\u00e1rio adicional como o qemu-nbd \u00e9 necess\u00e1rio para a montagem. Observe que em sistemas Windows sem patches, a v\u00edtima n\u00e3o precisa fazer nada ap\u00f3s montar o disco: o CVE-2025-24993<\/a>, uma vulnerabilidade ativamente explorada em ataques reais, dispara a execu\u00e7\u00e3o autom\u00e1tica logo ap\u00f3s montar a imagem.<\/p>\n

Para completar: tamb\u00e9m vale a pena detectar o VMDK, formato de imagem de disco usado pelo VMware, embora ele seja, em grande parte, ineficaz em ataques contra usu\u00e1rios comuns, pois todos os sistemas operacionais populares exigem software adicional para mont\u00e1-lo.<\/p>\n

Todos esses formatos de imagem podem ser visualizados e descompactados tanto com ferramentas especiais para arquivos comprimidos, quanto com utilit\u00e1rios padr\u00e3o como 7-Zip ou RAR. Como resultado, as chances de o usu\u00e1rio cair nessa armadilha s\u00e3o surpreendentemente altas.<\/p>\n

Al\u00e9m disso, como n\u00e3o s\u00e3o reconhecidos como formatos perigosos, imagens de disco oferecem aos invasores outra vantagem: arquivos extra\u00eddos delas no Windows geralmente carecem do sinalizador Mark of the Web, e podem ser iniciados sem nenhum alerta adicional do sistema.<\/p>\n

H\u00e1 mais uma raz\u00e3o para o EPP\/EDR<\/a> verificar m\u00e1quinas virtuais e imagens de disco: esses formatos tamb\u00e9m s\u00e3o usados nos est\u00e1gios posteriores de um ataque. Para ocultar a atividade do sistema de arquivos das ferramentas de monitoramento, gangues de ransomware \u00e0s vezes executam todo o processo de criptografia em uma m\u00e1quina virtual no computador da v\u00edtima. A cepa de ransomware RagnarLocker usou<\/a> o VirtualBox para essa finalidade, enquanto a campanha CRON#TRAP contou com um<\/a> ambiente QEMU.<\/p>\n

Arquivos do MS Office<\/h2>\n

N\u00e3o, n\u00e3o se trata de arquivos DOC com macros. A Microsoft bloqueou completamente as macros em documentos baixados<\/a>, exigindo um esfor\u00e7o consider\u00e1vel do usu\u00e1rio para ativ\u00e1-las, e ativ\u00e1-las requer um esfor\u00e7o consider\u00e1vel do usu\u00e1rio. Mas, o Office conta com dezenas de formatos de arquivo, e alguns dos menos comuns ainda oferecem brechas aos invasores.<\/p>\n

Os arquivos OneNote (.one) s\u00e3o menos familiares aos usu\u00e1rios e \u00e0s solu\u00e7\u00f5es de seguran\u00e7a. Embora sejam simples notas, podem conter anexos incorporados, incluindo n\u00e3o apenas imagens, links e scripts, mas tamb\u00e9m scripts VBS\/WSF\/BAT. Normalmente, um anexo aparece como um \u00edcone dentro da nota, mas os invasores o cobrem com uma imagem<\/a> que simula uma mensagem com o bot\u00e3o \u201cVisualizar\u201d.<\/p>\n

Outro formato do Office popular entre invasores \u00e9 o complemento do Excel. Embora usem a extens\u00e3o .xll, esses arquivos s\u00e3o, na verdade, DLLs (bibliotecas de v\u00ednculo din\u00e2mico) completas do Windows com funcionalidade irrestrita. As v\u00edtimas recebem um e-mail com um documento que parece uma fatura; o \u00edcone sugere que abrir\u00e1 no Excel. Ignorar o aviso de seguran\u00e7a resulta em infec\u00e7\u00e3o por infostealer<\/a>.<\/p>\n

SVG \u201cgr\u00e1ficos\u201d<\/h2>\n

A descri\u00e7\u00e3o do formato SVG (Scalable Vector Graphics) soa totalmente inofensiva. De fato, 99% dos arquivos SVG s\u00e3o logotipos e \u00edcones de interface. Diferentemente de PNG ou JPG, por\u00e9m, arquivos SVG s\u00e3o documentos XML que podem conter n\u00e3o apenas formas geom\u00e9tricas, mas tamb\u00e9m JavaScript. Em termos de potencial malicioso, o SVG n\u00e3o fica muito atr\u00e1s de uma p\u00e1gina da Web completa. Em ataques reais<\/a>, os arquivos SVG podem redirecionar usu\u00e1rios para p\u00e1ginas de phishing ao abrir, ou renderizar a p\u00e1gina decodificando um bloco codificado em Base64 em HTML.<\/p>\n

Arquivos SVG representam um risco significativo para portais corporativos que aceitam uploads de usu\u00e1rios. Se a Pol\u00edtica de Seguran\u00e7a de Conte\u00fado (CSP) n\u00e3o for suficientemente restritiva, um SVG malicioso carregado pode ter seu JavaScript roubar cookies, injetar conte\u00fado ou sequestrar credenciais.<\/p>\n

Arquivos poliglotas<\/h2>\n

Os formatos de arquivos poliglotas s\u00e3o menos ex\u00f3ticos por si mesmos, mas cont\u00eam mais do que o esperado. Eles s\u00e3o chamados de arquivos poliglotas porque os invasores criam um arquivo que pode ser interpretado corretamente de v\u00e1rias maneiras. Por exemplo, ele pode ser, ao mesmo tempo, um arquivo ZIP v\u00e1lido e um execut\u00e1vel v\u00e1lido. O objetivo \u00e9 evitar detec\u00e7\u00e3o por solu\u00e7\u00f5es de seguran\u00e7a e enganar o usu\u00e1rio. Abordamos os arquivos poliglotas detalhadamente em uma postagem separada<\/a>.<\/p>\n

O destaque em nosso resumo \u00e9 uma campanha maliciosa que distribui o infostealer IcedID<\/a>. As v\u00edtimas recebem e-mails com um anexo ZIP contendo uma imagem ISO. Isso ainda \u00e9 descompactado em um arquivo CHM (formato de Ajuda do Windows) que funciona como aplicativo mshta (host de aplicativos HTML da Microsoft), baixando o malware principal.<\/p>\n

Prote\u00e7\u00e3o contra arquivos ex\u00f3ticos<\/h2>\n

Esses ataques exploram a falha de muitas solu\u00e7\u00f5es de seguran\u00e7a em verificar formatos incomuns ou inspecion\u00e1-los adequadamente. Para se defender da amea\u00e7a, comece por presumir que a sua infraestrutura n\u00e3o tem essa limita\u00e7\u00e3o:<\/p>\n