Um CD inesperado na sua mesa não é apenas bagunça — é um potencial incidente de segurança. Malware, ferramentas de exfiltração de dados e ataques direcionados já foram entregues via mídia física. Siga este protocolo.
Ações Imediatas (Faça Isso Primeiro)
- NÃO INSERIR — Nem na sua estação de trabalho, nem na de um colega, nem em quiosque autônomo. Autorun/Autoplay pode executar código antes de você ver qualquer arquivo.
- Não abra nenhum arquivo se já inseriu. Desconecte da rede imediatamente.
- Fotografe o disco e a embalagem (rótulo, marcações, envelope) para documentação.
Passos de Investigação
- Pergunte localmente: "Alguém deixou isso para mim?" Verifique com vizinhos imediatos.
- Verifique rótulos: Manuscrito? Impresso? Nome do projeto? Nome do remetente?
- Revise características físicas: Disco prensado comercial (prateado) vs. CD-R gravado (corante colorido: verde, azul, ouro). Discos gravados são maior risco.
Escalação
- Contate TI / Help Desk imediatamente — Forneça: local encontrado, hora, descrição, fotos.
- Não tente "escanear você mesmo" — Seu AV pode não detectar malware direcionado/zero-day. TI tem sandboxes forenses.
- Preserve cadeia de custódia — Entregue diretamente à TI; não deixe em mesa compartilhada.
Se TI Liberar (Raro)
- Use workstation de análise dedicada, air-gapped (sem rede, sem dados de produção)
- Monte somente leitura se possível
- Escaneie com múltiplos engines (upload de hashes para VirusTotal)
- Extraia apenas tipos de arquivo esperados (PDF, DOCX, imagens) — nenhum executável, script, atalho
Higiene Geral
- Desabilite AutoRun/AutoPlay via Group Policy (TI já deveria ter feito)
- Mantenha proteção de endpoint atualizada
- Reporte qualquer mídia não solicitada — pendrives, cartões SD, HDs externos incluídos
- Use apenas drives USB criptografados emitidos pela organização para transferência de dados
Engenharia social via mídia física (baiting) é vetor de ataque comprovado. O worm Stuxnet se espalhou via USB. Um CD encontrado é um teste — passe reportando, não clicando.
