A backdoor do XZ Utils
Em março de 2024, é descoberto código malicioso no XZ Utils 5.6.0 e 5.6.1. O que diz o alerta da CISA e o que um colaborador pode fazer.
Em 30 segundos
- Onde acontece
- No XZ Utils, um software de compressão de dados que pode estar presente em distribuições Linux1.
- O que o código malicioso pode permitir
- Um acesso não autorizado aos sistemas afetados, segundo a CISA1.
- O reflexo
- Comunicar rapidamente à equipa de informática ou de segurança qualquer comportamento anómalo de um sistema e deixar as equipas técnicas aplicar as instruções oficiais.
- Se já aconteceu
- A CISA recomenda regressar a uma versão não comprometida, como o XZ Utils 5.4.6 Stable, procurar qualquer atividade maliciosa e comunicar as descobertas1.
Do que se trata
No final de março de 2024, a CISA indica estar a responder a relatos de código malicioso integrado no XZ Utils, um software de compressão de dados. As versões 5.6.0 e 5.6.1 são afetadas, e o caso recebe o identificador CVE-2024-30941.
Para um colaborador, este tipo de incidente tem uma particularidade: não chega por uma mensagem suspeita nem por um site falso. Passa por um software legítimo, instalado ou atualizado como de costume. Esta ficha descreve o que a CISA publicou e o que os referenciais do MITRE ATT&CK dizem sobre esta família de ataques. Não indica o pormenor da preparação do ataque nem o da sua descoberta: as fontes aqui citadas não os contêm.
Perguntas diretas
O que é o XZ Utils?
É um software de compressão de dados. Pode estar presente em distribuições Linux1.
Que versões são afetadas?
As versões 5.6.0 e 5.6.1, nas quais foi reportado código malicioso1. Esta atividade tem o identificador CVE-2024-30941.
O que permite o código malicioso?
Segundo a CISA, pode permitir um acesso não autorizado aos sistemas afetados1.
O que é um comprometimento da cadeia de abastecimento?
O MITRE ATT&CK define-o como a manipulação de produtos ou dos seus meios de entrega antes de chegarem ao consumidor final, com o objetivo de comprometer dados ou sistemas2.
O que deve fazer um colaborador?
Se um computador se comportar de forma invulgar, deve comunicá-lo depressa. A CISA pede, por seu lado, aos programadores e aos utilizadores que regressem a uma versão não comprometida e que comuniquem o que encontrarem1. Num posto gerido pela empresa, esse regresso à versão anterior cabe às equipas técnicas.
1Na pele do atacante1 min
As fontes aqui citadas não descrevem a preparação deste ataque. Descrevem, em contrapartida, a lógica geral da família a que pertence.
O MITRE ATT&CK inclui o comprometimento da cadeia de abastecimento entre as técnicas de acesso inicial. Pode ocorrer em qualquer etapa: ferramentas de desenvolvimento, repositórios de código-fonte, código das dependências de código aberto, mecanismos de atualização, substituição de um software legítimo por uma versão modificada2.
Os projetos de código aberto muito usados como dependências por numerosas aplicações podem ser visados para acrescentar código malicioso em todos os que os utilizam23. O atacante pode visar um conjunto preciso de vítimas, ou distribuir o software a um vasto público e só prosseguir junto de algumas vítimas24.
O MITRE descreve também a relação de confiança: intervenientes que já têm um acesso legítimo, como os prestadores de serviços, podem ser usados como ponto de entrada, porque esse acesso recebe por vezes menos atenção do que as vias de entrada habituais6.
2O que vê no ecrã1 min
3Por baixo do capôEquipas de TI1 min
O que a CISA diz do mecanismo resume-se a poucas palavras: foi integrado código malicioso nas versões 5.6.0 e 5.6.1, e este pode permitir um acesso não autorizado1.
O MITRE ATT&CK situa este tipo de ação em duas famílias de técnicas:
- O comprometimento da cadeia de abastecimento de software: manipulação do código-fonte da aplicação, do seu mecanismo de atualização ou de distribuição, ou substituição das versões compiladas por uma versão modificada4.
- A modificação do processo de autenticação: um atacante pode modificar os mecanismos que recolhem, armazenam e validam as credenciais, por exemplo os módulos de autenticação integráveis (PAM) nos sistemas de tipo Unix. Pode então autenticar-se num serviço sem usar uma conta válida5.
Estas duas páginas são referenciais gerais. Não mencionam o XZ Utils, e nada nas fontes aqui citadas liga este incidente a uma técnica precisa. A aproximação é apresentada como uma grelha de leitura, não como uma constatação.
4AutópsiasCasos reais1 min
29 de março de 2024: o alerta da CISA sobre o XZ Utils
A 29 de março de 2024, a CISA publica um alerta intitulado «Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094». Indica que a CISA e a comunidade de código aberto estão a responder a relatos de código malicioso integrado no XZ Utils, versões 5.6.0 e 5.6.11.
O texto recorda que o XZ Utils é um software de compressão de dados, que pode encontrar-se em distribuições Linux, e que o código malicioso pode permitir um acesso não autorizado aos sistemas afetados1.
A CISA recomenda aos programadores e aos utilizadores que revertam o XZ Utils para uma versão não comprometida, como o XZ Utils 5.4.6 Stable, que procurem qualquer atividade maliciosa e que comuniquem à CISA qualquer resultado positivo1. O alerta remete também para um aviso da Red Hat relativo ao Fedora 41 e ao Rawhide1.
As fontes aqui citadas não contêm nem a cronologia da preparação do ataque, nem o nome das pessoas envolvidas, nem as circunstâncias da descoberta. Estes elementos não figuram, por isso, nesta ficha.
Ficha
- Identificador
- CP-179
- Ala
- 2. Malware e autópsias
- Competência Brain
- Comunicar incidentes (report_incidents)
- Reflexo Brain
- cr-016
- Esquema
- G4 · Cronologia do incidente (autópsia)
- Idiomas
- de, en, es, fr, it, nl, pt
- Fontes
- 6 fontes verificadas em 3 de novembro de 2026
Fontes6 fontes
- CISA, «Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094», 29 de março de 2024. https://www.cisa.gov/news-events/alerts/2024/03/29/reported-supply-chain-compromise-affecting-xz-utils-data-compression-library-cve-2024-3094 (consultado em 3 de novembro de 2026)
- MITRE ATT&CK, «Supply Chain Compromise». https://attack.mitre.org/techniques/T1195/ (consultado em 3 de novembro de 2026)
- MITRE ATT&CK, «Supply Chain Compromise: Compromise Software Dependencies and Development Tools». https://attack.mitre.org/techniques/T1195/001/ (consultado em 3 de novembro de 2026)
- MITRE ATT&CK, «Supply Chain Compromise: Compromise Software Supply Chain». https://attack.mitre.org/techniques/T1195/002/ (consultado em 3 de novembro de 2026)
- MITRE ATT&CK, «Modify Authentication Process». https://attack.mitre.org/techniques/T1556/ (consultado em 3 de novembro de 2026)
- MITRE ATT&CK, «Trusted Relationship». https://attack.mitre.org/techniques/T1199/ (consultado em 3 de novembro de 2026)
Citar este artigo
Brain, «A backdoor do XZ Utils», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp179_pt_2026,
author = {Brain},
title = {A backdoor do XZ Utils},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/pt/articles/autopsia-xz-utils-backdoor-pt/},
note = {CC BY 4.0}
}