# Perícia forense informática após um ataque a um servidor web

> Perícia forense informática de servidores: preservamos vestígios com valor probatório, analisamos registos e ficheiros e esclarecemos com parceiros o que aconteceu.

Fonte: https://phpsos.de/pt/leistungen/it-forensik/  
Atualizado em: 25/10/2026  
Prestador: PHP SOS, Assistência de emergência PHP e segurança de servidores. Ajuda imediata por WhatsApp: https://wa.me/491736494914?text=Ol%C3%A1%2C%20PHP%20SOS%2C%20precisamos%20de%20ajuda%20com%20o%20nosso%20servidor%20PHP.%20Empresa%3A%20%E2%80%A6%20Site%3A%20%E2%80%A6

**Em resumo:** a perícia forense informática de servidores responde à pergunta sobre o que realmente aconteceu num ataque: quando, como, com que consequências. Em conjunto com parceiros especializados em perícia forense, preservamos vestígios com valor probatório, analisamos registos, sistemas de ficheiros e bases de dados e entregamos um relatório rastreável. Serve de base para notificações, para a seguradora e, se for o caso, para a ação penal.

## Quando precisa de perícia forense informática para o seu servidor

Nem todo o incidente exige uma investigação forense. Faz sentido sobretudo quando dados pessoais, dados de pagamento ou segredos comerciais possam estar afetados, quando uma denúncia ou um litígio sejam previsíveis ou quando uma seguradora espere um comprovativo sólido. Também para decidir se é necessária uma notificação à autoridade de controlo, os factos comprovados ajudam mais do que as suposições.

Depois do PHP2Shell, acresce um ponto especial. As vulnerabilidades CVE-2026-109618 e CVE-2026-109619 permitem a execução de código sem autenticação, e não existem indicadores de compromisso (IOCs) confirmados e publicados. Se um servidor foi afetado não se pode, por isso, despachar com uma lista de verificação, mas apenas através da análise de comportamento: que processos corriam, que ficheiros foram criados, que ligações saíram? Os primeiros pontos de referência são dados por [Já estou comprometido?](https://phpsos.de/pt/php2shell/bin-ich-gehackt-anzeichen/).

## O que distingue a perícia forense de uma limpeza rápida

A limpeza quer deixar o servidor de novo limpo. A perícia forense quer compreender e comprovar. Uma pergunta é “O servidor voltou a estar seguro?”, a outra “O que aconteceu exatamente e a que dados havia acesso?”. Para notificações, seguro e informação aos clientes, a segunda pergunta é, em regra, a decisiva. As duas conciliam-se, se a ordem estiver certa: primeiro preservar, depois alterar. Quem primeiro apaga, aplica o patch ou reinicia perde vestígios voláteis e muitas vezes já não consegue mostrar depois o que o atacante viu.

> **Importante:**
> Guarde todos os registos do servidor desde 20/10/2026 e peça ao seu fornecedor de alojamento que não rode nem apague os registos. A falta de registos é a causa mais frequente de questões em aberto no relatório.

## Que vestígios contam num servidor web PHP

Num servidor web típico há mais vestígios do que muitos operadores supõem. Se são aproveitáveis depende de durante quanto tempo são conservados e de terem sido preservados antes da intervenção.

- **Registos de acesso e de erros** do servidor web e do PHP-FPM, incluindo workers que falharam
- **Sistema de ficheiros:** ficheiros novos ou alterados, as suas marcas temporais e proprietários, código executável em pastas de uploads
- **Base de dados:** contas de utilizador novas, definições alteradas, conteúdos introduzidos
- **Sistema:** cronjobs, utilizadores, chaves SSH, registos de início de sessão, processos em execução e ligações de rede
- **Sistemas a montante:** registos de CDN, WAF, firewall, balanceador de carga e servidor de correio

Precisamente os sistemas a montante são muitas vezes esquecidos. Estão fora do servidor web e são, por isso, mais difíceis de manipular por um atacante. Em alguns fornecedores só são conservados durante pouco tempo, por isso convém exportá-los cedo.

## Como ajuda concretamente a PHP SOS?

1. **Esclarecer a incumbência:** definimos consigo que perguntas devem ser respondidas, por exemplo porta de entrada, período, dados afetados ou deslocação na rede. Daí resulta que sistemas são investigados.
2. **Preservar com valor probatório:** nós e os nossos parceiros especializados criamos cópias de suportes de dados, registos, bases de dados e, sempre que possível, da memória. Cada preservação recebe uma soma de verificação e cada entrega fica documentada.
3. **Analisar:** analisamos registos de acesso e de erros, alterações de ficheiros, contas de utilizador, cronjobs, processos e ligações de saída. A metodologia para registos é descrita em [Analisar registos do servidor web após um ataque](https://phpsos.de/pt/ratgeber/logfiles-auswerten/).
4. **Elaborar a cronologia:** dos achados resulta uma cronologia do incidente, em que cada afirmação remete para uma prova concreta.
5. **Entregar o relatório:** recebe um relatório técnico e um resumo compreensível para a administração.

## O que recebe e o que precisamos

O relatório contém os meios de prova preservados com somas de verificação, a documentação da cadeia de custódia, a cronologia, a porta de entrada apurada ou provável, os sistemas e tipos de dados afetados e recomendações. Cada afirmação é identificada como comprovada, provável ou desconhecida.

Precisamos de si:

- **acesso** aos sistemas afetados ou a autorização para que o seu fornecedor de alojamento nos disponibilize cópias
- **uma pessoa com poder de decisão**, que defina o âmbito e as prioridades
- **informações** sobre o parque de sistemas, os prestadores de serviços e as alterações conhecidas das últimas semanas
- **registos existentes**, também de firewalls, CDN, WAF ou servidores de correio
- **a indicação** de se a seguradora, a polícia ou um advogado já estão envolvidos

Se quiser apresentar denúncia, encontra indicações em [Apresentar denúncia: pontos de contacto centrais para o cibercrime](https://phpsos.de/pt/compliance/anzeige-polizei-zac/). O que as seguradoras esperam tipicamente em caso de sinistro, explica-o [Ciberseguro: o que conta em caso de sinistro](https://phpsos.de/pt/compliance/cyberversicherung/).

## O que não prometemos

A perícia forense só pode analisar os vestígios que existem. Se faltarem registos, se tiverem sido sobrescritos ou manipulados pelo atacante, ficam lacunas, e nós assinalamo-las. Não prometemos que um tribunal aprecie os nossos resultados de determinada forma e não fazemos avaliação jurídica. Não nomeamos autores, descrevemos o que os vestígios mostram. Também só fazemos afirmações como “seguramente não saíram dados” se as provas as sustentarem.

Se o ataque ainda decorre, a contenção tem prioridade. Começamos então com a [resposta a incidentes](https://phpsos.de/pt/leistungen/incident-response/) e preservamos em paralelo o maior número possível de vestígios.


## Perguntas frequentes

**O que significa preservação de provas com valor probatório em tribunal?**  
Os vestígios são preservados de forma a poder demonstrar-se mais tarde que não foram alterados. Incluem-se somas de verificação, uma cadeia de custódia documentada e o trabalho sobre cópias em vez do original. Se um tribunal aproveita um meio de prova, é, no entanto, o tribunal que decide.

**A perícia forense informática consegue esclarecer se saíram dados de clientes?**  
Muitas vezes é possível delimitar a que dados um atacante teve acesso e se há indícios de fuga. Uma exclusão segura nem sempre é possível, sobretudo se faltarem registos. O resultado é por isso separado em comprovado, provável e desconhecido.

**Durante quanto tempo se devem guardar os registos?**  
Para o esclarecimento, o máximo de tempo possível, pelo menos até a investigação estar concluída. No caso do PHP2Shell, a imprensa especializada aconselha a conservar os registos do servidor desde 20/10/2026. As obrigações legais de conservação e eliminação esclareça-as com o seu encarregado da proteção de dados.

**Posso reiniciar ou aplicar o patch ao servidor antes da perícia forense?**  
Um reinício apaga vestígios voláteis na memória, um patch altera ficheiros. Se puder, preserve primeiro ou fale brevemente connosco. Se o perigo for agudo, a contenção tem prioridade, e isso fica documentado.

## Fontes

- [BSI: Gabinete Federal Alemão para a Segurança da Informação](https://www.bsi.bund.de/)
- [Polícia: pontos de contacto centrais para o cibercrime](https://www.polizei.de/)
- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)