Extensão De Arquivos Executáveis

O que você precisa saber sobre extensões de arquivos executáveis

A extensão de arquivos executáveis é basicamente o sufixo que indica ao sistema operacional como lidar com aquele arquivo. No Windows, os mais comuns são .exe, .bat, .cmd, .msi e .scr. Cada um deles funciona de forma diferente e carrega riscos distintos. A confusão começa quando as pessoas tratam todos como sinônimos, mas na prática o peso que cada um carrega varia muito. Um .exe é um binário compilado. O Windows lê a tabela de importações, localiza as DLLs necessárias e joga pra rodar. Já um .bat é apenas texto interpretado pelo command.com ou PowerShell. Um .msi é um banco de dados estruturado que o Windows Installer usa para empacotar instalações. E um .scr tecnicamente é um executável, mas o sistema o trata como screensaver por padrão — o que significa que a dupla extensão .scr.exe muitas vezes passa despercebida em auditorias de segurança.

Como identificar e validar uma extensão de arquivos executáveis

A primeira coisa que eu faço quando preciso verificar se um arquivo é realmente seguro não é confiar na extensão visível. A maioria dos usuários vê .docx ou .pdf e confia cegamente, mas a extensão é apenas um rótulo que pode ser alterado manualmente. O que determina o tipo do arquivo é o conteúdo, especificamente os magic numbers no cabeçalho. Para verificar de verdade, você pode usar o comando file nome-do-arquivo no Linux, ou ferramentas como o exeinfope e o PEiD no Windows para analisar headers PE. Uma técnica prática que uso no dia a dia é abrir o arquivo em um editor hexadecional e verificar se começa com 4D5A (MZ), que indica um binário PE do Windows. Se a extensão diz .txt mas o header é MZ, você tem um executável disfarçado. A extensão de arquivos executáveis também precisa ser conferida em relação às configurações do explorador de arquivos. Por padrão, o Windows esconde extensões conhecidas. Isso significa que um arquivo chamado relatorio.jpg.exe pode aparecer como simplesmente relatorio.jpg na pasta. Você precisa ativar "Exibir extensões de arquivo" nas opções da pasta para evitar essa armadilha. Sem isso, a verificação por extensão é praticamente inútil.

Os formatos e como funcionam na prática

.EXE — O formato PE (Portable Executable) suporta diferentes subtipos. Binários COFF tradicionais com importações de DLLs são o mais comum, mas também existem os portable executables (PEs sem necessidade de instalação), que ganharam popularidade justamente porque contornam políticas de restrição de software em ambientes corporativos. Muitos analistas de segurança subestimam esse formato porque ele não escreve chaves de registro e não deixa rastros óbvios no diretório de instalação. .MSI — Arquivos de instalação são interpretados pelo Windows Installer. Diferente de um .exe, o MSI não contém código executável direto. É um banco de dados SQL-like com tabelas de componentes, arquivos, registries e ações de customização. O problema prático que eu vejo com frequência é que o MSI pode conter custom actions que são scripts VBScript ou JScript executados com privilégios de sistema durante a instalação. Quem audita só o pacote e não inspeciona essas ações está deixando passar código arbitrário. .BAT / .CMD / .PS1 — Scripts interpretados. O .bat e o .cmd são interpretados pelo command prompt, enquanto o .ps1 é processado pelo PowerShell. O PowerShell tem uma particularidade crítica: ele vem com um mecanismo de execução que pode ser desabilitado via Set-ExecutionPolicy. Mas mesmo com a política restritiva, scripts podem ser codificados em Base64, descompactados em memória e executados sem tocar o disco. Já vi caso em que um arquivo .ps1 de 500 bytes disparava um payload de 2MB rodando inteiramente na RAM.

.SCR — Screensavers são executáveis com uma convenção estranha. Quando você clica duas vezes nas Propriedades da Área de Trabalho, o Windows chama o .scr com o argumento /S para o modo screensaver. Se chamar com /C, abre a caixa de configuração. Se chamar sem argumentos, executa normalmente. Essa flexibilidade é frequentemente explorada em engenharia social porque o ícone do screensaver aparece como legítimo nos diálogos de propriedades.

Problemas reais que eu encontrei

Em um projeto de migração de software dentro de uma empresa com cerca de mil estações, nos deparamos com um problema curioso. Um aplicativo legado usava um arquivo de configuração .inf que, na verdade, era um executável disfarçado. O arquivo tinha magic number MZ no início, mas a extensão .inf fazia com que o Windows tentasse processá-lo com o instalador de INF, que por sua vez lia linhas [Strings] como comandos a executar. A solução foi substituir o processador padrão do INF por um parser customizado que validava o cabeçalho PE antes de qualquer ação. O tempo de correção foi de aproximadamente 3 horas de teste até a implementação, e desde então adicionamos uma verificação automatizada de magic number em todos os arquivos .inf que passam pelo repositório de deploy. Outro caso frequente envolve extensões duplas. Um arquivo chamado fatura.exe.bak parece inofensivo para a maioria dos usuários, mas o Windows, ao interpretar a última extensão, pode decidir tratá-lo como backup e permitir execução em certos contextos. O recurso DoubleExtension da API do Shell tenta mitigar isso, mas a implementação é inconsistente entre versões do Windows e dependendo de como o arquivo foi criado (via rede, download, etc.).

Limitações e onde isso falha

Validar apenas pela extensão ou pelo magic number não é suficiente. Ferramentas como o OLE2FAT conseguem extrair objetos OLE embutidos em documentos Office, revelando macros executáveis que não aparecem em nenhuma análise superficial. Um .doc ou .pdf pode conter payloads executáveis escondidos em seções de dados que não são o arquivo principal. A extensão de arquivos executáveis também não protege contra binários legítimos comprometidos. Um .exe assinado digitalmente pode ter seu certificado revogado semanas depois da assinatura, mas o sistema continuará executando sem questionar. A verificação de assinatura deve sempre incluir consulta à lista de certificados revogados (CRL) ou ao OCSP, não apenas validar a cadeia de certificação no momento da execução. Para análise profunda de arquivos suspeitos, o PEStudio e o Process Monitor da Sysinternals são indispensáveis. O PEStudio mostra importações, recursos embutidos, strings suspeitas e flags de compilação em segundos. O ProcMon permite capturar o que o executável faz em tempo real: quais chaves de registro acessa, quais arquivos cria, que processos filhos inicia. Combinados, reduzem o tempo de triagem de horas para cerca de 15 minutos na maioria dos casos.

Se você trabalha com ambientes restritos onde qualquer execução precisa ser auditada, considere usar AppLocker ou Windows Defender Application Control para restringir execução por hash de arquivo, caminho ou publisher. Não é perfeito — hashes SHA-1 podem ter colisões práticas e o caminho pode ser burlado movendo o arquivo — mas bloqueia a vasta maioria dos executáveis não autorizados que entram por phishing ou malware comum.