Se você ainda confia cegamente naqueles ícones de atalho (.LNK) espalhados pelo seu desktop ou recebidos por e-mail, é hora de repensar a rotina. O pesquisador de segurança Wietze Beukema descobriu quatro técnicas inéditas que permitem disfarçar comandos maliciosos em arquivos LNK aparentemente inofensivos. Na prática, o usuário clica em um atalho que promete abrir o Word e, sem perceber, entrega a máquina para um invasor.
Por que você deveria ligar para arquivos .LNK?
O formato LNK existe desde o Windows 95 e serve para poupar cliques, apontando para programas ou documentos. O problema é que esses atalhos carregam bem mais do que um caminho de pasta: eles podem embutir parâmetros, variáveis de ambiente, ícones personalizados e até scripts inteiros. A cada falha descoberta, aumenta o risco de phishing, infecções via pendrive e acesso inicial em redes corporativas — cenários em que antivírus básicos costumam falhar.
As quatro novas artimanhas detectadas
Beukema revelou que o Windows decide qual “caminho” confiar dentro de um .LNK com base em diferentes campos (TargetIDList, EnvironmentVariableDataBlock e LinkInfo). Explorando essas prioridades, ele mostrou que é possível:
- Forjar o destino visível: Exibir um endereço legítimo e, no momento do clique, executar um arquivo escondido em outro local.
- Explorar inconsistências de metadados: Se o atalho tiver variáveis de ambiente malformadas, o Explorer mostra uma coisa e executa outra, sem alertas.
- Brincar com campos ANSI/Unicode: Preencher apenas o valor ANSI e deixar o campo Unicode vazio faz o Windows executar o endereço oculto e bloquear a edição do destino pelo usuário.
- Ocultar argumentos de linha de comando: Ativar a flag HasExpString e preencher campos com bytes nulos esconde comandos extras. Assim, dá para rodar “programas de confiança” (como PowerShell) com instruções maliciosas invisíveis — a clássica tática de LOLBINs.
O que muda para gamers, criadores de conteúdo e empresas?
• Gamers: Ataques via pendrive são comuns em campeonatos LAN ou cyber cafés. Um LNK disfarçado pode instalar cheats ou roubar credenciais da Steam sem acionar o VAC.
• Produtores: Atalhos compartilhados em projetos colaborativos (ex.: drives externos de vídeo) podem incluir scripts que criptografam o acervo inteiro — um ransomware silencioso.
• Empresas: Em muitos escritórios, atalhos são distribuídos em GPOs. Um invasor interno pode trocar um LNK na rede e ganhar pivot para servidores críticos.
Microsoft: falha ou “apenas” bug de interface?
A Microsoft evita classificar o comportamento como vulnerabilidade, alegando que exige interação do usuário e não quebra barreiras de segurança. Contudo, o histórico fala alto: desde o worm Stuxnet, em 2010, até campanhas recentes de phishing, os .LNK seguem figurando em relatórios de ameaças. A própria empresa publicou um aviso em novembro de 2025 sobre riscos envolvendo atalhos, mas sem solução definitiva.
Como se proteger agora
1. Desconfie de atalhos externos: Recebeu por e-mail, Discord ou pendrive? Prefira abrir o arquivo original em vez do .LNK.
2. Ative a visualização de extensões no Explorador do Windows e configure o sistema para mostrar arquivos ocultos.
3. Use antivírus com análise comportamental: soluções modernas verificam comandos passados a executáveis legítimos.
4. Restrinja LOLBINs: Policies que bloqueiam execução do PowerShell ou mshta.exe fora de diretórios específicos mitigam danos.
5. Mantenha backups offline: Caso um LNK dispare ransomware, você não fica refém.
Imagem: Shweta Sharma
Impacto no mercado de hardware e periféricos
Com a escalada de ataques de engenharia social, cresce a procura por mouse com botões programáveis e teclados com macros dedicadas que ajudam a lançar softwares de segurança rapidamente, além de tokens USB físicos para autenticação. Embora não substituam boas práticas, esses acessórios — muitos deles à venda na Amazon — potencializam a defesa proativa, seja no home office ou em setups gamers.
Enquanto a Microsoft decide se corrige ou não o manuseio dos atalhos, a regra é clara: trate qualquer .LNK desconhecido como você trataria um executável suspeito. Afinal, basta um duplo clique para transformar um desktop impecável em terreno fértil para ameaças.
Com informações de Computerworld
