Um arquivo de áudio em si (.mp3, .wav, .flac, .aac, .ogg) não executa código. É dado passivo — sem ponto de entrada para infecção.
Vetores de Ataque Reais (Não o Áudio)
- Container malicioso: .zip/.rar/.iso contendo audio.exe + audio.mp3. Usuário extrai, clica .exe.
- Exploit no parser: CVE no media player (ex: CVE-2021-0397 Android media framework). Requer OS não patchado + arquivo crafted. Raro, patchado rápido.
- Arquivos poliglota: Áudio válido + executável válido (ex: MP3 + JAR). Roda como áudio no player, como código se lançado como JAR. Engenharia social necessária.
- Esteganografia: Payload escondido nos LSBs — ainda precisa extrator+executor.
- Arquivos de playlist: .m3u, .pls apontando para URLs maliciosas — player busca, não o áudio.
Segurança Prática
- Mantenha OS / apps de mídia atualizados.
- Não abra anexos inesperados.
- Desative auto-run / auto-play.
- Use players confiáveis (VLC, mpv, foobar2000, apps nativos).
- Escaneie downloads com AV (Windows Defender, Malwarebytes).
Veredito: O .mp3 é inocente. O perigo é o que está ao lado ou fazendo parse dele.
