Em resumo: a perícia forense informática de servidores responde à pergunta sobre o que realmente aconteceu num ataque: quando, como, com que consequências. Em conjunto com parceiros especializados em perícia forense, preservamos vestígios com valor probatório, analisamos registos, sistemas de ficheiros e bases de dados e entregamos um relatório rastreável. Serve de base para notificações, para a seguradora e, se for o caso, para a ação penal.
Quando precisa de perícia forense informática para o seu servidor
Nem todo o incidente exige uma investigação forense. Faz sentido sobretudo quando dados pessoais, dados de pagamento ou segredos comerciais possam estar afetados, quando uma denúncia ou um litígio sejam previsíveis ou quando uma seguradora espere um comprovativo sólido. Também para decidir se é necessária uma notificação à autoridade de controlo, os factos comprovados ajudam mais do que as suposições.
Depois do PHP2Shell, acresce um ponto especial. As vulnerabilidades CVE-2026-109618 e CVE-2026-109619 permitem a execução de código sem autenticação, e não existem indicadores de compromisso (IOCs) confirmados e publicados. Se um servidor foi afetado não se pode, por isso, despachar com uma lista de verificação, mas apenas através da análise de comportamento: que processos corriam, que ficheiros foram criados, que ligações saíram? Os primeiros pontos de referência são dados por Já estou comprometido?.
O que distingue a perícia forense de uma limpeza rápida
A limpeza quer deixar o servidor de novo limpo. A perícia forense quer compreender e comprovar. Uma pergunta é “O servidor voltou a estar seguro?”, a outra “O que aconteceu exatamente e a que dados havia acesso?”. Para notificações, seguro e informação aos clientes, a segunda pergunta é, em regra, a decisiva. As duas conciliam-se, se a ordem estiver certa: primeiro preservar, depois alterar. Quem primeiro apaga, aplica o patch ou reinicia perde vestígios voláteis e muitas vezes já não consegue mostrar depois o que o atacante viu.
Guarde todos os registos do servidor desde 20/10/2026 e peça ao seu fornecedor de alojamento que não rode nem apague os registos. A falta de registos é a causa mais frequente de questões em aberto no relatório.
Que vestígios contam num servidor web PHP
Num servidor web típico há mais vestígios do que muitos operadores supõem. Se são aproveitáveis depende de durante quanto tempo são conservados e de terem sido preservados antes da intervenção.
- Registos de acesso e de erros do servidor web e do PHP-FPM, incluindo workers que falharam
- Sistema de ficheiros: ficheiros novos ou alterados, as suas marcas temporais e proprietários, código executável em pastas de uploads
- Base de dados: contas de utilizador novas, definições alteradas, conteúdos introduzidos
- Sistema: cronjobs, utilizadores, chaves SSH, registos de início de sessão, processos em execução e ligações de rede
- Sistemas a montante: registos de CDN, WAF, firewall, balanceador de carga e servidor de correio
Precisamente os sistemas a montante são muitas vezes esquecidos. Estão fora do servidor web e são, por isso, mais difíceis de manipular por um atacante. Em alguns fornecedores só são conservados durante pouco tempo, por isso convém exportá-los cedo.
Como ajuda concretamente a PHP SOS?
- Esclarecer a incumbência: definimos consigo que perguntas devem ser respondidas, por exemplo porta de entrada, período, dados afetados ou deslocação na rede. Daí resulta que sistemas são investigados.
- Preservar com valor probatório: nós e os nossos parceiros especializados criamos cópias de suportes de dados, registos, bases de dados e, sempre que possível, da memória. Cada preservação recebe uma soma de verificação e cada entrega fica documentada.
- Analisar: analisamos registos de acesso e de erros, alterações de ficheiros, contas de utilizador, cronjobs, processos e ligações de saída. A metodologia para registos é descrita em Analisar registos do servidor web após um ataque.
- Elaborar a cronologia: dos achados resulta uma cronologia do incidente, em que cada afirmação remete para uma prova concreta.
- Entregar o relatório: recebe um relatório técnico e um resumo compreensível para a administração.
O que recebe e o que precisamos
O relatório contém os meios de prova preservados com somas de verificação, a documentação da cadeia de custódia, a cronologia, a porta de entrada apurada ou provável, os sistemas e tipos de dados afetados e recomendações. Cada afirmação é identificada como comprovada, provável ou desconhecida.
Precisamos de si:
- acesso aos sistemas afetados ou a autorização para que o seu fornecedor de alojamento nos disponibilize cópias
- uma pessoa com poder de decisão, que defina o âmbito e as prioridades
- informações sobre o parque de sistemas, os prestadores de serviços e as alterações conhecidas das últimas semanas
- registos existentes, também de firewalls, CDN, WAF ou servidores de correio
- a indicação de se a seguradora, a polícia ou um advogado já estão envolvidos
Se quiser apresentar denúncia, encontra indicações em Apresentar denúncia: pontos de contacto centrais para o cibercrime. O que as seguradoras esperam tipicamente em caso de sinistro, explica-o Ciberseguro: o que conta em caso de sinistro.
O que não prometemos
A perícia forense só pode analisar os vestígios que existem. Se faltarem registos, se tiverem sido sobrescritos ou manipulados pelo atacante, ficam lacunas, e nós assinalamo-las. Não prometemos que um tribunal aprecie os nossos resultados de determinada forma e não fazemos avaliação jurídica. Não nomeamos autores, descrevemos o que os vestígios mostram. Também só fazemos afirmações como “seguramente não saíram dados” se as provas as sustentarem.
Se o ataque ainda decorre, a contenção tem prioridade. Começamos então com a resposta a incidentes e preservamos em paralelo o maior número possível de vestígios.
Perguntas frequentes
O que significa preservação de provas com valor probatório em tribunal?
Os vestígios são preservados de forma a poder demonstrar-se mais tarde que não foram alterados. Incluem-se somas de verificação, uma cadeia de custódia documentada e o trabalho sobre cópias em vez do original. Se um tribunal aproveita um meio de prova, é, no entanto, o tribunal que decide.
A perícia forense informática consegue esclarecer se saíram dados de clientes?
Muitas vezes é possível delimitar a que dados um atacante teve acesso e se há indícios de fuga. Uma exclusão segura nem sempre é possível, sobretudo se faltarem registos. O resultado é por isso separado em comprovado, provável e desconhecido.
Durante quanto tempo se devem guardar os registos?
Para o esclarecimento, o máximo de tempo possível, pelo menos até a investigação estar concluída. No caso do PHP2Shell, a imprensa especializada aconselha a conservar os registos do servidor desde 20/10/2026. As obrigações legais de conservação e eliminação esclareça-as com o seu encarregado da proteção de dados.
Posso reiniciar ou aplicar o patch ao servidor antes da perícia forense?
Um reinício apaga vestígios voláteis na memória, um patch altera ficheiros. Se puder, preserve primeiro ou fale brevemente connosco. Se o perigo for agudo, a contenção tem prioridade, e isso fica documentado.