Cyberpediapor Brain
PTDEENESFRITNL

Evil Maid: o computador deixado no hotel

Como alguém a sós durante alguns minutos com um computador deixado num quarto de hotel o pode comprometer, e o que fazer.

Em 30 segundos

Onde acontece
Um computador portátil deixado sem vigilância (quarto de hotel, sala de reuniões, carro), mesmo desligado ou bloqueado.
O que o atacante quer
Colocar código que seja executado antes do sistema, para roubar dados, palavras-passe ou a chave de cifragem do disco12.
O reflexo
Não deixar o aparelho sozinho, desligá-lo por completo antes de se afastar e usar um PIN de arranque se o serviço informático o disponibilizar2.
Se já aconteceu
Se o aparelho pedir uma chave de recuperação sem motivo conhecido, avise o serviço informático antes de voltar a utilizá-lo.

Do que se trata

O nome «Evil Maid» (a empregada de limpeza malévola) designa uma situação simples: um computador fica sozinho num quarto de hotel e alguém lhe acede durante alguns minutos. O aparelho está desligado ou bloqueado, e nada parece ter sido mexido. No entanto, uma alteração feita antes do arranque do Windows escapa às proteções que o sistema só aplica depois de estar em funcionamento1.

Os programas maliciosos de arranque, os «bootkits», podem de facto arrancar antes do Windows, contornar a segurança do sistema e permanecer escondidos1. Esta ficha explica o princípio, o que se vê no ecrã e os reflexos que reduzem o risco. As fontes citadas aqui não descrevem nenhum caso de hotel concreto: os casos datados mais abaixo são ataques reais do mesmo tipo (alteração do arranque ou do firmware, equipamento ligado ao aparelho), e não cenas de hotel.

Perguntas diretas

Um computador desligado pode mesmo ser atacado?

Sim, se o seu arranque não estiver protegido. Um atacante com acesso direto ao disco de arranque pode substituir a zona onde está o carregador e desviar a execução para o seu próprio código3. Num aparelho UEFI, pode criar ou alterar ficheiros da partição de sistema EFI para executar código malicioso ao nível do kernel3.

O que procura obter?

Os rootkits, de que os bootkits fazem parte, vêm muitas vezes acompanhados de outros programas maliciosos capazes de contornar as autenticações locais, registar palavras-passe e teclas premidas, transferir ficheiros privados e capturar dados criptográficos1.

A cifragem do disco é suficiente?

Protege os dados de um aparelho perdido ou roubado, incluindo contra uma ferramenta de ataque por software ou a transferência do disco para outra máquina4. A Microsoft especifica que o BitLocker protege por predefinição contra a instalação de um bootkit por uma pessoa fisicamente presente: o TPM deteta a alteração e a chave não é libertada2. O mesmo documento refere que o modo «apenas TPM» é mais prático, mas menos seguro do que as opções que exigem um segundo fator2.

O que é um TPM?

É um chip concebido para fornecer funções básicas de segurança, sobretudo em torno das chaves de cifragem. O BitLocker associa-lhe as suas chaves para verificar que o aparelho não foi alterado enquanto o sistema estava desligado2.

1Na pele do atacante1 min

O atacante dispõe de pouco tempo e de acesso físico. A Microsoft distingue dois perfis. O primeiro é o atacante ocasional: não usa nenhum método destrutivo nem ferramenta de análise sofisticada, e a forma do aparelho (sem porta externa capaz de acesso direto à memória, sem parafusos visíveis, memória soldada) limita as suas opções2. O segundo tem competências e acesso prolongado: abre a caixa, solda e utiliza equipamento ou software especializado2. Em alguns sistemas, contornar o modo «apenas TPM» pode exigir abrir a caixa e soldar, a um custo razoável; contornar um TPM protegido por PIN custa mais e obriga a adivinhar o PIN2.

Existem vários caminhos. O primeiro altera o setor de arranque ou a partição EFI para que código hostil seja executado antes do sistema3. O segundo visa o firmware (BIOS ou UEFI): existem meios para o substituir, o que pode dar a atacantes sofisticados uma persistência difícil de detetar5. O terceiro acrescenta equipamento. A MITRE observa que muitas equipas de testes de intrusão usam acessórios capazes de injetar teclas premidas ou de ler a memória do kernel por acesso direto (DMA), e que as referências públicas de utilização por atacantes reais são raras6.

2O que vê no ecrã1 min

Não é descrito nada de concreto. As fontes citadas aqui não descrevem nenhum ecrã falso em particular. Dizem, no entanto, que um rootkit que arranca antes do sistema pode esconder-se totalmente1. O ecrã de introdução do PIN do BitLocker é ele próprio uma etapa anterior ao Windows4, ou seja, no mesmo ponto em que seria executado um código malicioso de arranque.

Há, ainda assim, um indício: com o modo «apenas TPM», se o BitLocker detetar uma alteração da configuração do BIOS ou do UEFI, de ficheiros de arranque críticos ou da configuração de arranque, passa para o modo de recuperação e pede a palavra-passe de recuperação2. Um ecrã de recuperação inesperado merece, por isso, ser comunicado. O mesmo se aplica a um acessório desconhecido ligado ao aparelho, uma vez que esse acessório pode injetar teclas premidas6.

3Por baixo do capôEquipas de TI2 min

No arranque, o firmware localiza primeiro o carregador do sistema. Sem Secure Boot, o PC executa o que está no disco e não consegue saber se pertence a um sistema de confiança ou a um rootkit1. Com Secure Boot, o firmware verifica a assinatura do carregador antes de o iniciar1.

Os bootkits substituem ou alteram esse carregador. Num BIOS clássico, mexem no Master Boot Record (MBR) ou no Volume Boot Record (VBR); num UEFI, criam ou alteram ficheiros da partição EFI3. Os rootkits de firmware substituem o BIOS ou outro firmware de hardware para arrancar antes do Windows1. O NIST inclui a alteração não autorizada do BIOS entre as ameaças importantes, devido à posição privilegiada do BIOS na arquitetura do PC7.

As defesas formam uma cadeia. O Secure Boot só inicia carregadores de confiança, o Trusted Boot verifica depois cada componente do arranque, e o Measured Boot regista o arranque para que um servidor de confiança avalie o estado do PC1. O BitLocker apoia-se na medição do TPM: um firmware EFI, uma aplicação de arranque ou um carregador não autorizado não pode ser executado nem obter a chave2. Se o atacante alterar a base de dados de configuração de arranque para apontar para um sistema falso, o BitLocker verifica criptograficamente que o destinatário da chave é o sistema correto2.

O PIN de arranque acrescenta um segundo fator. O BitLocker só carrega as chaves na memória depois de concluída a autenticação pré-arranque, e o TPM limita as tentativas repetidas para travar a força bruta2. O PIN ajuda também contra ataques por portas DMA e por remanência da memória2.

4AutópsiasCasos reais2 min

As fontes citadas aqui não dão nenhum caso de hotel datado. Citam ataques reais da mesma natureza, com a data da referência indicada na página.

Hacking Team, 2015: um rootkit no BIOS

A MITRE cita um rootkit de BIOS UEFI desenvolvido pela empresa Hacking Team para manter um software de acesso remoto em certos sistemas visados5. A referência associada é um artigo de 13 de julho de 20155.

LoJax: um rootkit UEFI observado em ambiente real (referência de setembro de 2018)

O LoJax é um rootkit de BIOS UEFI implantado para manter um software de acesso remoto em certos sistemas visados5. A referência da MITRE é um artigo da ESET de setembro de 2018 intitulado «LOJAX First UEFI rootkit found in the wild, courtesy of the Sednit group»5.

DarkVishnya: equipamento ligado no local (referência de dezembro de 2018)

O DarkVishnya ligou fisicamente um Bash Bunny, um Raspberry Pi, netbooks e portáteis baratos ao ambiente de uma organização para aceder à sua rede local6. A referência é uma análise de 6 de dezembro de 2018 sobre bancos atacados por ligação direta à rede local6.

WhisperGate, janeiro de 2022: um carregador de arranque desviado

O WhisperGate substitui o MBR por um componente de carregador que apaga os discos rígidos e apresenta, no arranque, um falso pedido de resgate3. A maior parte das referências da MITRE sobre este caso data de janeiro de 2022, uma de fevereiro de 20223.

5Os bons reflexos1 min
  • Não deixe o aparelho sozinho.
  • Desligue-o por completo ou ponha-o em hibernação antes de se afastar. Em suspensão simples, os programas e os documentos ficam na memória e o PIN não é pedido de novo ao retomar; na hibernação, o disco fica bloqueado2.
  • Se a sua organização o permitir, utilize a cifragem com PIN de arranque. O modo «apenas TPM» é o predefinido e destina-se ao atacante ocasional; contra um atacante com competências e tempo, a Microsoft recomenda um TPM com PIN, a suspensão desativada e um encerramento ou hibernação antes de deixar o aparelho2.
  • Mantenha o Secure Boot ativo: desativá-lo não protege contra bootkits1. A Microsoft recomenda também exigir uma palavra-passe para alterar as definições do BIOS2.
  • No regresso, se o aparelho se comportar de forma diferente (pedido de recuperação, acessório desconhecido), comunique-o ao serviço informático antes de o voltar a ligar. Um bootkit situa-se por baixo do sistema e pode tornar difícil a reposição completa3.

Ficha

Identificador
CP-089
Ala
1. Ataques e técnicas
Competência Brain
Proteger os dispositivos (secure_devices)
Reflexo Brain
cr-056
Esquema
G3 · Corte anatómico
Idiomas
de, en, es, fr, it, nl, pt
Fontes
7 fontes verificadas em 3 de novembro de 2026
Fontes7 fontes
  1. Microsoft, «Secure the Windows boot process». https://learn.microsoft.com/en-us/windows/security/operating-system-security/system-security/secure-the-windows-10-boot-process (consultado em 3 de novembro de 2026)
  2. Microsoft, «BitLocker countermeasures». https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/countermeasures (consultado em 3 de novembro de 2026)
  3. MITRE ATT&CK, «Pre-OS Boot: Bootkit, Sub-technique T1542.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1542/003/ (consultado em 3 de novembro de 2026)
  4. Microsoft, «BitLocker Overview». https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/ (consultado em 3 de novembro de 2026)
  5. MITRE ATT&CK, «Pre-OS Boot: System Firmware, Sub-technique T1542.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1542/001/ (consultado em 3 de novembro de 2026)
  6. MITRE ATT&CK, «Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1200/ (consultado em 3 de novembro de 2026)
  7. NIST, «SP 800-147B, BIOS Protection Guidelines for Servers», 28 de agosto de 2014. https://csrc.nist.gov/pubs/sp/800/147/b/final (consultado em 3 de novembro de 2026)

Citar este artigo

Brain, «Evil Maid: o computador deixado no hotel», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/evil-maid-computador-hotel/

BibTeX 
@misc{brain_cp089_pt_2026,
  author = {Brain},
  title = {Evil Maid: o computador deixado no hotel},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pt/articles/evil-maid-computador-hotel/},
  note = {CC BY 4.0}
}
Licença CC BY 4.0