Ataques baseados em script – Como se prevenir?

Os scripts podem ser distribuídos diretamente ou incorporados em documentos Office e PDFs enviados como anexos de e-mail.

Como os atacantes usam os scripts

Os scripts oferecem múltiplas vantagens para quem ataca:

• Fáceis de escrever e executar
• Triviais de ofuscar
• Extremamente polimórficos
• Executam na memória, evitando detecção de arquivos estáticos

75% dos ataques sem arquivo (fileless) utilizam scripts em pelo menos um estágio do ataque. Os tipos mais comuns são PowerShell, JavaScript, HTA, VBA, VBS e scripts batch.

Exemplo de ataque: o Helminth Trojan (grupo iraniano Oilrig) explorou a vulnerabilidade CVE-2017-0199 em documentos Word, entregando scripts HTA executados via mshta.exe.

PowerShell: uma ferramenta poderosa para o sysadmin e para o atacante

O PowerShell é um framework para gerenciamento de configuração e automação de tarefas, com acesso a Windows Management Instrumentation (WMI) e Component Object Model (COM) — exatamente o que torna essa ferramenta tão útil também para atacantes.

Os atacantes o utilizam para:

• Carregar malware diretamente na memória
• Automatizar exfiltração de dados
• Usar frameworks ofensivos como Metasploit ou PowerSploit

Exemplo: o Cobalt Malware explorou a vulnerabilidade CVE-2017-11882 (RTF), baixando um JavaScript que executava múltiplos scripts PowerShell contendo DLLs maliciosas mantidas apenas em memória.

JavaScript: um convidado indesejado no seu leitor de PDF

JavaScript é a linguagem padrão para scripts web, mas também é suportado por leitores de PDF, que podem executar código JavaScript embutido na máquina da vítima — explorando vulnerabilidades não corrigidas ou recursos legítimos de leitura do próprio software.

Outros formatos de script usados em ataques

HTA (HTML Application)

Arquivos do Windows executados via Internet Explorer/mshta.exe, combinando HTML com VBScript ou JScript. Rodam com privilégios do usuário local, o que dá acesso ao sistema de arquivos e ao registro do Windows.

VBScript (Visual Basic Scripting Edition)

Linguagem de scripting da Microsoft baseada em VBA, normalmente usada para automação de sistemas, com suporte a codificação no formato VBE — o que dificulta a leitura do conteúdo a olho nu.

Então, devo permitir a execução de scripts na rede da minha organização?

A lógica maliciosa desses ataques ocorre em memória, o que torna a análise de arquivos estáticos, sozinha, insuficiente. Algumas recomendações práticas:

1. Segmente os usuários por necessidade real de script

• Quem executa scripts diariamente, como parte do trabalho
• Quem executa scripts raramente
• Quem não deveria executar scripts em nenhuma hipótese

2. Aplique controles de segurança específicos

• Permita a execução de scripts apenas a partir de locais com acesso restrito a leitura
• Restrinja e monitore o uso interativo do PowerShell (Constrained Language Mode, logging de módulos e de blocos de script)
• Reforce boas práticas gerais de TI: privilégio mínimo, patching em dia e segmentação de rede

3. Invista em detecção comportamental

A análise de assinatura estática não é suficiente contra scripts polimórficos que rodam em memória. Vale priorizar soluções de segurança de endpoint com análise comportamental contextual de script — capazes de identificar comandos PowerShell maliciosos e de sinalizar quando um script dá origem a processos filhos suspeitos a partir de aplicações comuns como Word ou Outlook, mesmo sem uma assinatura conhecida.

Leia também: Por que o Antivírus Não é Suficiente? Deep Learning e Cybersecurity

Conclusão

Ataques baseados em script exploram exatamente o ponto cego das defesas tradicionais focadas em arquivo: eles não deixam um binário malicioso parado no disco para ser escaneado. Segmentar o uso de scripts por perfil de usuário, restringir e monitorar ferramentas como o PowerShell, e complementar isso com detecção comportamental reduz bastante a superfície de ataque — sem exigir que a organização abra mão completamente de uma ferramenta legítima e amplamente usada por administradores.