--- id: CP-089 slug: evil-maid-computador-hotel lang: pt title: "Evil Maid: o computador deixado no hotel" description: Como alguém a sós durante alguns minutos com um computador deixado num quarto de hotel o pode comprometer, e o que fazer. canonical_url: https://startbrain.io/cyberpedia/pt/articles/evil-maid-computador-hotel/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/evil-maid-computador-hotel.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, «Evil Maid: o computador deixado no hotel», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/evil-maid-computador-hotel/ (CC BY 4.0)" wing: 1 theme: secure_devices reflex: cr-056 schema: G3 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/evil-maid-computador-hotel/ fr: https://startbrain.io/cyberpedia/fr/articles/evil-maid-ordinateur-hotel/ en: https://startbrain.io/cyberpedia/en/articles/evil-maid-laptop-hotel-attack/ de: https://startbrain.io/cyberpedia/de/articles/evil-maid-laptop-hotel/ es: https://startbrain.io/cyberpedia/es/articles/evil-maid-ordenador-hotel/ it: https://startbrain.io/cyberpedia/it/articles/evil-maid-computer-hotel/ nl: https://startbrain.io/cyberpedia/nl/articles/evil-maid-laptop-hotel-aanval/ sources: - "n": 1 title: Secure the Windows boot process publisher: Microsoft url: https://learn.microsoft.com/en-us/windows/security/operating-system-security/system-security/secure-the-windows-10-boot-process accessed: "2026-11-03" - "n": 2 title: BitLocker countermeasures publisher: Microsoft url: https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/countermeasures accessed: "2026-11-03" - "n": 3 title: "Pre-OS Boot: Bootkit, Sub-technique T1542.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1542/003/ accessed: "2026-11-03" - "n": 4 title: BitLocker Overview publisher: Microsoft url: https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/ accessed: "2026-11-03" - "n": 5 title: "Pre-OS Boot: System Firmware, Sub-technique T1542.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1542/001/ accessed: "2026-11-03" - "n": 6 title: Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1200/ accessed: "2026-11-03" - "n": 7 title: SP 800-147B, BIOS Protection Guidelines for Servers publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/147/b/final published: "2014-08-28" accessed: "2026-11-03" --- # Evil Maid: o computador deixado no hotel O nome «Evil Maid» (a empregada de limpeza malévola) designa uma situação simples: um computador fica sozinho num quarto de hotel e alguém lhe acede durante alguns minutos. O aparelho está desligado ou bloqueado, e nada parece ter sido mexido. No entanto, uma alteração feita antes do arranque do Windows escapa às proteções que o sistema só aplica depois de estar em funcionamento [1]. Os programas maliciosos de arranque, os «bootkits», podem de facto arrancar antes do Windows, contornar a segurança do sistema e permanecer escondidos [1]. Esta ficha explica o princípio, o que se vê no ecrã e os reflexos que reduzem o risco. As fontes citadas aqui não descrevem nenhum caso de hotel concreto: os casos datados mais abaixo são ataques reais do mesmo tipo (alteração do arranque ou do firmware, equipamento ligado ao aparelho), e não cenas de hotel. ## Em 30 segundos - Onde acontece: um computador portátil deixado sem vigilância (quarto de hotel, sala de reuniões, carro), mesmo desligado ou bloqueado. - O que o atacante quer: colocar código que seja executado antes do sistema, para roubar dados, palavras-passe ou a chave de cifragem do disco [1][2]. - O reflexo: não deixar o aparelho sozinho, desligá-lo por completo antes de se afastar e usar um PIN de arranque se o serviço informático o disponibilizar [2]. - Se já aconteceu: se o aparelho pedir uma chave de recuperação sem motivo conhecido, avise o serviço informático antes de voltar a utilizá-lo. ## Perguntas diretas ### Um computador desligado pode mesmo ser atacado? Sim, se o seu arranque não estiver protegido. Um atacante com acesso direto ao disco de arranque pode substituir a zona onde está o carregador e desviar a execução para o seu próprio código [3]. Num aparelho UEFI, pode criar ou alterar ficheiros da partição de sistema EFI para executar código malicioso ao nível do kernel [3]. ### O que procura obter? Os rootkits, de que os bootkits fazem parte, vêm muitas vezes acompanhados de outros programas maliciosos capazes de contornar as autenticações locais, registar palavras-passe e teclas premidas, transferir ficheiros privados e capturar dados criptográficos [1]. ### A cifragem do disco é suficiente? Protege os dados de um aparelho perdido ou roubado, incluindo contra uma ferramenta de ataque por software ou a transferência do disco para outra máquina [4]. A Microsoft especifica que o BitLocker protege por predefinição contra a instalação de um bootkit por uma pessoa fisicamente presente: o TPM deteta a alteração e a chave não é libertada [2]. O mesmo documento refere que o modo «apenas TPM» é mais prático, mas menos seguro do que as opções que exigem um segundo fator [2]. ### O que é um TPM? É um chip concebido para fornecer funções básicas de segurança, sobretudo em torno das chaves de cifragem. O BitLocker associa-lhe as suas chaves para verificar que o aparelho não foi alterado enquanto o sistema estava desligado [2]. ## Na pele do atacante O atacante dispõe de pouco tempo e de acesso físico. A Microsoft distingue dois perfis. O primeiro é o atacante ocasional: não usa nenhum método destrutivo nem ferramenta de análise sofisticada, e a forma do aparelho (sem porta externa capaz de acesso direto à memória, sem parafusos visíveis, memória soldada) limita as suas opções [2]. O segundo tem competências e acesso prolongado: abre a caixa, solda e utiliza equipamento ou software especializado [2]. Em alguns sistemas, contornar o modo «apenas TPM» pode exigir abrir a caixa e soldar, a um custo razoável; contornar um TPM protegido por PIN custa mais e obriga a adivinhar o PIN [2]. Existem vários caminhos. O primeiro altera o setor de arranque ou a partição EFI para que código hostil seja executado antes do sistema [3]. O segundo visa o firmware (BIOS ou UEFI): existem meios para o substituir, o que pode dar a atacantes sofisticados uma persistência difícil de detetar [5]. O terceiro acrescenta equipamento. A MITRE observa que muitas equipas de testes de intrusão usam acessórios capazes de injetar teclas premidas ou de ler a memória do kernel por acesso direto (DMA), e que as referências públicas de utilização por atacantes reais são raras [6]. ## O que vê no ecrã Não é descrito nada de concreto. As fontes citadas aqui não descrevem nenhum ecrã falso em particular. Dizem, no entanto, que um rootkit que arranca antes do sistema pode esconder-se totalmente [1]. O ecrã de introdução do PIN do BitLocker é ele próprio uma etapa anterior ao Windows [4], ou seja, no mesmo ponto em que seria executado um código malicioso de arranque. Há, ainda assim, um indício: com o modo «apenas TPM», se o BitLocker detetar uma alteração da configuração do BIOS ou do UEFI, de ficheiros de arranque críticos ou da configuração de arranque, passa para o modo de recuperação e pede a palavra-passe de recuperação [2]. Um ecrã de recuperação inesperado merece, por isso, ser comunicado. O mesmo se aplica a um acessório desconhecido ligado ao aparelho, uma vez que esse acessório pode injetar teclas premidas [6]. ## Por baixo do capô No arranque, o firmware localiza primeiro o carregador do sistema. Sem Secure Boot, o PC executa o que está no disco e não consegue saber se pertence a um sistema de confiança ou a um rootkit [1]. Com Secure Boot, o firmware verifica a assinatura do carregador antes de o iniciar [1]. Os bootkits substituem ou alteram esse carregador. Num BIOS clássico, mexem no Master Boot Record (MBR) ou no Volume Boot Record (VBR); num UEFI, criam ou alteram ficheiros da partição EFI [3]. Os rootkits de firmware substituem o BIOS ou outro firmware de hardware para arrancar antes do Windows [1]. O NIST inclui a alteração não autorizada do BIOS entre as ameaças importantes, devido à posição privilegiada do BIOS na arquitetura do PC [7]. As defesas formam uma cadeia. O Secure Boot só inicia carregadores de confiança, o Trusted Boot verifica depois cada componente do arranque, e o Measured Boot regista o arranque para que um servidor de confiança avalie o estado do PC [1]. O BitLocker apoia-se na medição do TPM: um firmware EFI, uma aplicação de arranque ou um carregador não autorizado não pode ser executado nem obter a chave [2]. Se o atacante alterar a base de dados de configuração de arranque para apontar para um sistema falso, o BitLocker verifica criptograficamente que o destinatário da chave é o sistema correto [2]. O PIN de arranque acrescenta um segundo fator. O BitLocker só carrega as chaves na memória depois de concluída a autenticação pré-arranque, e o TPM limita as tentativas repetidas para travar a força bruta [2]. O PIN ajuda também contra ataques por portas DMA e por remanência da memória [2]. ## Autópsias As fontes citadas aqui não dão nenhum caso de hotel datado. Citam ataques reais da mesma natureza, com a data da referência indicada na página. ### Hacking Team, 2015: um rootkit no BIOS A MITRE cita um rootkit de BIOS UEFI desenvolvido pela empresa Hacking Team para manter um software de acesso remoto em certos sistemas visados [5]. A referência associada é um artigo de 13 de julho de 2015 [5]. ### LoJax: um rootkit UEFI observado em ambiente real (referência de setembro de 2018) O LoJax é um rootkit de BIOS UEFI implantado para manter um software de acesso remoto em certos sistemas visados [5]. A referência da MITRE é um artigo da ESET de setembro de 2018 intitulado «LOJAX First UEFI rootkit found in the wild, courtesy of the Sednit group» [5]. ### DarkVishnya: equipamento ligado no local (referência de dezembro de 2018) O DarkVishnya ligou fisicamente um Bash Bunny, um Raspberry Pi, netbooks e portáteis baratos ao ambiente de uma organização para aceder à sua rede local [6]. A referência é uma análise de 6 de dezembro de 2018 sobre bancos atacados por ligação direta à rede local [6]. ### WhisperGate, janeiro de 2022: um carregador de arranque desviado O WhisperGate substitui o MBR por um componente de carregador que apaga os discos rígidos e apresenta, no arranque, um falso pedido de resgate [3]. A maior parte das referências da MITRE sobre este caso data de janeiro de 2022, uma de fevereiro de 2022 [3]. ## Os bons reflexos - Não deixe o aparelho sozinho. - Desligue-o por completo ou ponha-o em hibernação antes de se afastar. Em suspensão simples, os programas e os documentos ficam na memória e o PIN não é pedido de novo ao retomar; na hibernação, o disco fica bloqueado [2]. - Se a sua organização o permitir, utilize a cifragem com PIN de arranque. O modo «apenas TPM» é o predefinido e destina-se ao atacante ocasional; contra um atacante com competências e tempo, a Microsoft recomenda um TPM com PIN, a suspensão desativada e um encerramento ou hibernação antes de deixar o aparelho [2]. - Mantenha o Secure Boot ativo: desativá-lo não protege contra bootkits [1]. A Microsoft recomenda também exigir uma palavra-passe para alterar as definições do BIOS [2]. - No regresso, se o aparelho se comportar de forma diferente (pedido de recuperação, acessório desconhecido), comunique-o ao serviço informático antes de o voltar a ligar. Um bootkit situa-se por baixo do sistema e pode tornar difícil a reposição completa [3]. ## Fontes 1. Microsoft, «Secure the Windows boot process». https://learn.microsoft.com/en-us/windows/security/operating-system-security/system-security/secure-the-windows-10-boot-process (consultado em 3 de novembro de 2026) 2. Microsoft, «BitLocker countermeasures». https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/countermeasures (consultado em 3 de novembro de 2026) 3. MITRE ATT&CK, «Pre-OS Boot: Bootkit, Sub-technique T1542.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1542/003/ (consultado em 3 de novembro de 2026) 4. Microsoft, «BitLocker Overview». https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/ (consultado em 3 de novembro de 2026) 5. MITRE ATT&CK, «Pre-OS Boot: System Firmware, Sub-technique T1542.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1542/001/ (consultado em 3 de novembro de 2026) 6. MITRE ATT&CK, «Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1200/ (consultado em 3 de novembro de 2026) 7. NIST, «SP 800-147B, BIOS Protection Guidelines for Servers», 28 de agosto de 2014. https://csrc.nist.gov/pubs/sp/800/147/b/final (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/evil-maid-computador-hotel/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.