RTZ Ferramentas Segurança defensiva
Menu

Consulta de reputação de hash

Verifique se um arquivo é conhecido como malicioso usando apenas o hash MD5, SHA-1 ou SHA-256, sem enviar o arquivo.

Dica: consulte vários itens de uma vez separando por espaço ou vírgula, ou cole uma lista.

O que é um hash e por que consultá-lo

Um hash é uma espécie de impressão digital de um arquivo: um cálculo matemático transforma todo o conteúdo do arquivo numa sequência curta de caracteres. Qualquer alteração no arquivo, por menor que seja, gera um hash completamente diferente. Por isso, o hash é a forma mais usada para identificar um arquivo de maneira única em análises de segurança.

Quando um antivírus, um relatório de ameaças ou um colega aponta um arquivo suspeito, consultar o hash nas bases de reputação mostra se aquele exato arquivo já foi analisado e classificado como malicioso, sem que você precise enviá-lo ou executá-lo.

Como usar

  1. Calcule o hash do arquivo (veja os comandos abaixo) ou copie-o de um alerta ou relatório.
  2. Cadastre suas chaves gratuitas do VirusTotal e do MetaDefender em Chaves de API.
  3. Cole um ou vários hashes e clique em Consultar.
  4. Veja o nome mais comum do arquivo, o tipo e quantos antivírus o detectam.

Como calcular o hash de um arquivo

No Windows (PowerShell):

Get-FileHash .\arquivo.exe
Get-FileHash .\arquivo.exe -Algorithm MD5

No Linux ou no macOS (Terminal):

sha256sum arquivo.bin        # Linux
shasum -a 256 arquivo.bin    # macOS

A diferença entre os algoritmos está explicada no guia MD5, SHA-1 e SHA-256: qual a diferença.

Como interpretar o resultado

  • Resultado 45/72: 45 de 72 antivírus detectaram o arquivo. É quase certamente malicioso.
  • Poucas detecções genéricas: podem indicar um programa legítimo, mas pouco comum. Veja o nome das detecções no relatório completo.
  • Sem registros: a base nunca viu esse arquivo. Não é garantia de segurança.

As colunas Arquivo e Tipo mostram o nome mais comum com que o arquivo foi enviado às bases e o formato (executável do Windows, documento do Office, script etc.). Um "documento" que na verdade é um executável é um forte sinal de golpe.

Por que não enviamos o arquivo

Enviar um arquivo para uma base pública o torna acessível a outros pesquisadores. Se o arquivo contiver dados internos (um contrato, uma planilha), isso pode ser um vazamento. A consulta por hash evita esse risco: só a impressão digital é compartilhada.

Perguntas frequentes

Preciso enviar o arquivo para consultar o hash?

Não. Você consulta apenas o hash, uma sequência de letras e números que identifica o arquivo. O arquivo em si nunca sai do seu computador.

Como descubro o hash de um arquivo no Windows?

No PowerShell, rode Get-FileHash .\arquivo.exe (o padrão é SHA-256). Para MD5, use Get-FileHash .\arquivo.exe -Algorithm MD5. No Linux e no macOS, use sha256sum ou shasum -a 256.

Qual hash devo usar: MD5, SHA-1 ou SHA-256?

Prefira SHA-256: é o padrão atual e o mais confiável para identificar arquivos. MD5 e SHA-1 ainda são aceitos pelas bases e aparecem em muitos relatórios antigos, mas têm colisões conhecidas.

"Sem registros" quer dizer que o arquivo é seguro?

Não. Significa que a base nunca recebeu aquele arquivo. Malware novo ou feito sob medida para um alvo costuma não ter histórico. Na dúvida, não execute o arquivo.

Um arquivo legítimo pode aparecer com detecções?

Sim. Instaladores, ferramentas de administração e programas pouco conhecidos às vezes recebem detecções genéricas ("PUA", "Riskware"). Confira o nome das detecções no relatório completo e a assinatura digital do arquivo.