--- id: CP-179 slug: autopsia-xz-utils-backdoor-pt lang: pt title: A backdoor do XZ Utils description: Em março de 2024, é descoberto código malicioso no XZ Utils 5.6.0 e 5.6.1. O que diz o alerta da CISA e o que um colaborador pode fazer. canonical_url: https://startbrain.io/cyberpedia/pt/articles/autopsia-xz-utils-backdoor-pt/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/autopsia-xz-utils-backdoor-pt.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «A backdoor do XZ Utils», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/autopsia-xz-utils-backdoor-pt/ (CC BY 4.0) wing: 2 theme: report_incidents reflex: cr-016 schema: G4 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/autopsia-xz-utils-backdoor-pt/ fr: https://startbrain.io/cyberpedia/fr/articles/autopsie-xz-utils-backdoor/ en: https://startbrain.io/cyberpedia/en/articles/xz-utils-backdoor-autopsy/ de: https://startbrain.io/cyberpedia/de/articles/autopsie-xz-utils-hintertur/ es: https://startbrain.io/cyberpedia/es/articles/autopsia-xz-utils-puerta-trasera/ it: https://startbrain.io/cyberpedia/it/articles/autopsia-xz-utils-backdoor/ nl: https://startbrain.io/cyberpedia/nl/articles/autopsie-xz-utils-backdoor-nl/ sources: - "n": 1 title: Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094 publisher: CISA url: https://www.cisa.gov/news-events/alerts/2024/03/29/reported-supply-chain-compromise-affecting-xz-utils-data-compression-library-cve-2024-3094 published: "2024-03-29" accessed: "2026-11-03" - "n": 2 title: Supply Chain Compromise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1195/ accessed: "2026-11-03" - "n": 3 title: "Supply Chain Compromise: Compromise Software Dependencies and Development Tools" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1195/001/ accessed: "2026-11-03" - "n": 4 title: "Supply Chain Compromise: Compromise Software Supply Chain" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1195/002/ accessed: "2026-11-03" - "n": 5 title: Modify Authentication Process publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1556/ accessed: "2026-11-03" - "n": 6 title: Trusted Relationship publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1199/ accessed: "2026-11-03" --- # A backdoor do XZ Utils No final de março de 2024, a CISA indica estar a responder a relatos de código malicioso integrado no XZ Utils, um software de compressão de dados. As versões 5.6.0 e 5.6.1 são afetadas, e o caso recebe o identificador CVE-2024-3094 [1]. Para um colaborador, este tipo de incidente tem uma particularidade: não chega por uma mensagem suspeita nem por um site falso. Passa por um software legítimo, instalado ou atualizado como de costume. Esta ficha descreve o que a CISA publicou e o que os referenciais do MITRE ATT&CK dizem sobre esta família de ataques. Não indica o pormenor da preparação do ataque nem o da sua descoberta: as fontes aqui citadas não os contêm. ## Em 30 segundos - Onde acontece: no XZ Utils, um software de compressão de dados que pode estar presente em distribuições Linux [1]. - O que o código malicioso pode permitir: um acesso não autorizado aos sistemas afetados, segundo a CISA [1]. - O reflexo: comunicar rapidamente à equipa de informática ou de segurança qualquer comportamento anómalo de um sistema e deixar as equipas técnicas aplicar as instruções oficiais. - Se já aconteceu: a CISA recomenda regressar a uma versão não comprometida, como o XZ Utils 5.4.6 Stable, procurar qualquer atividade maliciosa e comunicar as descobertas [1]. ## Perguntas diretas ### O que é o XZ Utils? É um software de compressão de dados. Pode estar presente em distribuições Linux [1]. ### Que versões são afetadas? As versões 5.6.0 e 5.6.1, nas quais foi reportado código malicioso [1]. Esta atividade tem o identificador CVE-2024-3094 [1]. ### O que permite o código malicioso? Segundo a CISA, pode permitir um acesso não autorizado aos sistemas afetados [1]. ### O que é um comprometimento da cadeia de abastecimento? O MITRE ATT&CK define-o como a manipulação de produtos ou dos seus meios de entrega antes de chegarem ao consumidor final, com o objetivo de comprometer dados ou sistemas [2]. ### O que deve fazer um colaborador? Se um computador se comportar de forma invulgar, deve comunicá-lo depressa. A CISA pede, por seu lado, aos programadores e aos utilizadores que regressem a uma versão não comprometida e que comuniquem o que encontrarem [1]. Num posto gerido pela empresa, esse regresso à versão anterior cabe às equipas técnicas. ## Na pele do atacante As fontes aqui citadas não descrevem a preparação deste ataque. Descrevem, em contrapartida, a lógica geral da família a que pertence. O MITRE ATT&CK inclui o comprometimento da cadeia de abastecimento entre as técnicas de acesso inicial. Pode ocorrer em qualquer etapa: ferramentas de desenvolvimento, repositórios de código-fonte, código das dependências de código aberto, mecanismos de atualização, substituição de um software legítimo por uma versão modificada [2]. Os projetos de código aberto muito usados como dependências por numerosas aplicações podem ser visados para acrescentar código malicioso em todos os que os utilizam [2][3]. O atacante pode visar um conjunto preciso de vítimas, ou distribuir o software a um vasto público e só prosseguir junto de algumas vítimas [2][4]. O MITRE descreve também a relação de confiança: intervenientes que já têm um acesso legítimo, como os prestadores de serviços, podem ser usados como ponto de entrada, porque esse acesso recebe por vezes menos atenção do que as vias de entrada habituais [6]. ## O que vê no ecrã A CISA não descreve nenhum sinal visível do lado do utilizador [1]. O texto consultado não diz, por isso, o que a atualização parece a um colaborador, e esta ficha não afirma nada a esse respeito. O que a fonte permite escrever é mais limitado: o XZ Utils pode estar presente em distribuições Linux [1]. ## Por baixo do capô O que a CISA diz do mecanismo resume-se a poucas palavras: foi integrado código malicioso nas versões 5.6.0 e 5.6.1, e este pode permitir um acesso não autorizado [1]. O MITRE ATT&CK situa este tipo de ação em duas famílias de técnicas: - O comprometimento da cadeia de abastecimento de software: manipulação do código-fonte da aplicação, do seu mecanismo de atualização ou de distribuição, ou substituição das versões compiladas por uma versão modificada [4]. - A modificação do processo de autenticação: um atacante pode modificar os mecanismos que recolhem, armazenam e validam as credenciais, por exemplo os módulos de autenticação integráveis (PAM) nos sistemas de tipo Unix. Pode então autenticar-se num serviço sem usar uma conta válida [5]. Estas duas páginas são referenciais gerais. Não mencionam o XZ Utils, e nada nas fontes aqui citadas liga este incidente a uma técnica precisa. A aproximação é apresentada como uma grelha de leitura, não como uma constatação. ## Autópsias ### 29 de março de 2024: o alerta da CISA sobre o XZ Utils A 29 de março de 2024, a CISA publica um alerta intitulado «Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094». Indica que a CISA e a comunidade de código aberto estão a responder a relatos de código malicioso integrado no XZ Utils, versões 5.6.0 e 5.6.1 [1]. O texto recorda que o XZ Utils é um software de compressão de dados, que pode encontrar-se em distribuições Linux, e que o código malicioso pode permitir um acesso não autorizado aos sistemas afetados [1]. A CISA recomenda aos programadores e aos utilizadores que revertam o XZ Utils para uma versão não comprometida, como o XZ Utils 5.4.6 Stable, que procurem qualquer atividade maliciosa e que comuniquem à CISA qualquer resultado positivo [1]. O alerta remete também para um aviso da Red Hat relativo ao Fedora 41 e ao Rawhide [1]. As fontes aqui citadas não contêm nem a cronologia da preparação do ataque, nem o nome das pessoas envolvidas, nem as circunstâncias da descoberta. Estes elementos não figuram, por isso, nesta ficha. ## Fontes 1. CISA, «Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094», 29 de março de 2024. https://www.cisa.gov/news-events/alerts/2024/03/29/reported-supply-chain-compromise-affecting-xz-utils-data-compression-library-cve-2024-3094 (consultado em 3 de novembro de 2026) 2. MITRE ATT&CK, «Supply Chain Compromise». https://attack.mitre.org/techniques/T1195/ (consultado em 3 de novembro de 2026) 3. MITRE ATT&CK, «Supply Chain Compromise: Compromise Software Dependencies and Development Tools». https://attack.mitre.org/techniques/T1195/001/ (consultado em 3 de novembro de 2026) 4. MITRE ATT&CK, «Supply Chain Compromise: Compromise Software Supply Chain». https://attack.mitre.org/techniques/T1195/002/ (consultado em 3 de novembro de 2026) 5. MITRE ATT&CK, «Modify Authentication Process». https://attack.mitre.org/techniques/T1556/ (consultado em 3 de novembro de 2026) 6. MITRE ATT&CK, «Trusted Relationship». https://attack.mitre.org/techniques/T1199/ (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/autopsia-xz-utils-backdoor-pt/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.