Um analista do TRT recebeu um alerta do setor de segurança indicando que um servidor de banco de dados estava se comunicando com um endereço IP externo desconhecido em horários atípicos. Ao investigar, o analista constatou que o processo responsável pela conexão era o próprio serviço de banco de dados, que havia sido reiniciado sem autorização e cujo binário apresentava hash diferente do original. O firewall perimetral permitia a saída para a porta 443, e o antivírus instalado não detectou ameaças. Diante desse cenário, considere as afirmativas a seguir:
- I. A situação é compatível com um ataque de exfiltração de dados, no qual o invasor pode ter utilizado técnicas de tunelamento para ocultar o tráfego malicioso dentro de conexões HTTPS legítimas, o que explica a não detecção pelo antivírus baseado em assinaturas.
- II. A alteração do hash do binário do serviço indica comprometimento da integridade do arquivo, sendo a verificação de integridade por meio de funções de hash uma medida capaz de identificar modificações não autorizadas, ainda que não impeça a execução do código malicioso.
- III. A ausência de detecção pelo antivírus demonstra que o firewall perimetral configurado para permitir a saída na porta 443 é a única barreira eficaz contra esse tipo de ameaça, sendo suficiente para bloquear a exfiltração caso seja configurado para inspecionar o conteúdo do tráfego.
- IV. O reinício não autorizado do serviço, associado à comunicação externa atípica, sugere a existência de um mecanismo de persistência, como a modificação de scripts de inicialização ou de tarefas agendadas, que garante a execução do código malicioso após reinicializações do sistema.
Estão corretas apenas as afirmativas:
