Injeção de Fórmulas: Backdoors em Planilhas Habilitam RCE no Office e Grist-Core

A planilha confiável, um pilar das operações empresariais globais, tornou-se uma arma potente nas mãos de agentes de ameaças. Uma técnica de ataque sofisticada conhecida como injeção de fórmulas está sendo ativamente explorada para contornar controles de segurança críticos e alcançar a execução remota de código (RCE) em plataformas amplamente utilizadas, incluindo o Microsoft Office e o projeto de código aberto Grist-Core. Essa tendência ressalta uma mudança fundamental: os invasores não estão mais visando apenas sistemas operacionais ou serviços de rede; eles estão armando a própria lógica de negócios e os recursos de automação dos quais as empresas dependem.

Dia Zero no Microsoft Office: Contornando a Última Linha de Defesa

A Microsoft recentemente tomou a medida incomum de lançar uma atualização de segurança de emergência fora do ciclo regular para corrigir uma vulnerabilidade crítica em seu pacote Office. Essa falha de dia zero estava sendo ativamente explorada em ataques direcionados e limitados antes que um patch estivesse disponível. Os detalhes técnicos são guardados a sete chaves, mas analistas de segurança confirmam que a cadeia de ataque envolve um documento maliciosamente manipulado, como um arquivo do Word ou uma planilha do Excel.

O documento explora uma vulnerabilidade de corrupção de memória ou uma falha lógica dentro do mecanismo de análise de documentos do Office. Crucialmente, o exploit é projetado para contornar o robusto recurso de segurança "Visualização Protegida" da Microsoft. A Visualização Protegida é um ambiente isolado (sandbox) que abre documentos de fontes não confiáveis (como anexos de e-mail ou da web) em modo somente leitura, impedindo a execução automática de código incorporado. Ao contornar isso, o documento malicioso pode executar código arbitrário com os privilégios do usuário conectado, potencialmente levando ao comprometimento total do sistema, roubo de dados e movimento lateral dentro de uma rede. A rápida emissão do patch e os avisos de agências nacionais de cibersegurança, como a DNSC da Romênia, destacam a gravidade e o risco real que essa falha representava para usuários individuais e corporativos.

Grist-Core: Transformando Fórmulas de Planilha em Comandos do Sistema

Paralelamente à ameaça do Office, uma vulnerabilidade crítica (CVE-2025-51747, pontuação CVSS 9.8) foi divulgada no Grist-Core, uma plataforma inovadora que combina a flexibilidade de uma planilha com o poder de um banco de dados. Essa falha representa um caso clássico de injeção de fórmulas. O Grist-Core permite que os usuários criem fórmulas poderosas para manipulação de dados. No entanto, a falta de sanitização de entrada adequada e de isolamento em seu mecanismo de execução de fórmulas criou um caminho para escalonamento de privilégios.

Um usuário autenticado com permissões de edição poderia incorporar uma fórmula especialmente manipulada dentro de uma célula da planilha. Essa fórmula, ao ser processada pelo servidor Grist, poderia escapar do contexto de cálculo pretendido e executar comandos arbitrários do sistema operacional no servidor subjacente. Diferente dos ataques do lado do cliente no Office, explorar o Grist-Core fornece RCE direta do lado do servidor. Isso significa que um invasor que comprometa uma única conta de usuário poderia potencialmente assumir o controle de toda a instância do Grist e do servidor que a hospeda, levando a violações de dados catastróficas e maior infiltração na rede.

A Ameaça Comum: O Documento Confiável como Cavalo de Troia

A convergência desses incidentes revela uma superfície de ataque crítica: os mecanismos de processamento de fórmulas e documentos dentro do software de produtividade. Esses componentes são projetados para desempenho e funcionalidade avançada, não como limites de segurança. Os invasores exploram essa lacuna incorporando cargas úteis maliciosas dentro de elementos que o software foi projetado para confiar e executar, sejam objetos de documento, fórmulas de célula ou conexões de dados dinâmicas.

Essa técnica é altamente eficaz porque se aproveita da confiança humana e sistêmica. Os funcionários estão acostumados a abrir planilhas e documentos como parte de seu fluxo de trabalho diário. As ferramentas de segurança podem ser menos vigilantes contra formatos de arquivo comuns como .XLSX ou .DOCX em comparação com executáveis. Além disso, o ataque pode ser escalonado: um documento pode baixar uma carga útil de segundo estágio da internet somente após contornar a Visualização Protegida, dificultando a análise estática.

Estratégias de Mitigação e Defesa

Para as equipes de segurança, esse cenário de ameaças em evolução exige uma resposta em várias camadas:

1. Aplicação Imediata de Patches: Aplicar as últimas atualizações de segurança da Microsoft para o Office e do projeto Grist imediatamente. Esta é a etapa mais crítica.
2. Princípio do Menor Privilégio: Restringir as permissões dos usuários tanto nos endpoints quanto em aplicativos como o Grist. Nenhum usuário deve ter acesso de gravação ou edição, a menos que seja absolutamente necessário.
3. Fortalecimento da Segurança de Aplicativos: Para o Office, garantir que a Visualização Protegida e outras configurações de segurança (como o bloqueio de macros da internet) sejam aplicadas via Política de Grupo. Para plataformas auto-hospedadas como o Grist, implementar segmentação de rede rigorosa e executar o serviço com privilégios mínimos do sistema operacional.
4. Conscientização do Usuário e Controles Técnicos: Treinar os usuários para desconfiar de documentos não solicitados, mesmo de contatos aparentemente conhecidos. Implantar gateways de segurança de e-mail avançados que possam analisar o conteúdo do documento em busca de código malicioso. Considerar a listagem de permissão de aplicativos para evitar a execução de software não autorizado.
5. Monitoramento Ativo: Monitorar a criação incomum de processos a partir de aplicativos do Office (como WINWORD.EXE ou EXCEL.EXE iniciando o PowerShell) e por conexões de rede anômalas originadas em servidores de aplicativos.

A era da planilha maliciosa chegou. À medida que as ferramentas de negócios se tornam mais poderosas e interconectadas, sua superfície de ataque se expande proporcionalmente. Defender-se contra a injeção de fórmulas e a RCE baseada em documentos requer ir além da detecção tradicional de malware e adotar um modelo de segurança que questione a confiança inerente depositada nos arquivos de negócios do dia a dia.