Arquivos infectados chegando ao Moodle: como o monitoramento detectou

Caso real de produção, contado sem identificar o cliente. O servidor Moodle de uma faculdade estava recebendo imagens (JPG) infectadas — arquivos que chegavam com cara de foto, mas não eram. Nada tinha "explodido" ainda: não havia tela de erro, nem reclamação de usuário. O sinal apareceu onde esse tipo de coisa aparece primeiro — nos dados de monitoramento.

Esse é o ponto do caso. A pergunta não é "o Moodle pega vírus?". Qualquer sistema que aceita upload recebe o que mandam. A pergunta é: quem está olhando os dados a tempo de perceber?

Por que o Moodle recebe esse tipo de arquivo

O Moodle tem várias áreas que aceitam envio de arquivos por usuários: tarefas, fóruns, foto de perfil, mensagens. É parte do funcionamento normal. O problema é quando um arquivo malicioso chega disfarçado — por exemplo, com extensão de imagem — misturado aos envios legítimos. Sozinho, um upload não dispara alarme; é o padrão que denuncia.

Como o monitoramento encontrou

Não foi sorte nem palpite: foi acompanhamento de dados. Monitorar logs, uploads e o comportamento do servidor faz emergir o que a olho nu passa batido — arquivos que são "imagem só no nome", origem ou volume de envio fora do normal, e sinais de verificação que não batem. Foi esse cruzamento que revelou o problema antes de ele virar um incidente com a plataforma comprometida.

O que fizemos — e o que não fizemos

Aqui entra uma parte que consideramos inegociável: a plataforma é da instituição. Nosso papel foi detectar, informar com clareza e recomendar — não mexer por conta própria em algo que é do cliente. Levamos à faculdade o que foi encontrado, o risco real e as resoluções cabíveis, deixando a decisão com quem é dono da plataforma. Monitorar, alertar e orientar é papel do parceiro técnico; a soberania sobre a plataforma continua sendo de quem a opera.

As resoluções recomendadas

As medidas indicadas foram as de sempre para esse cenário — nenhuma exótica, todas eficazes:

• Antivírus nos uploads. O Moodle integra verificação antivírus (via ClamAV) para varrer os arquivos enviados. Ligado e atualizado, barra o arquivo malicioso na porta.
• Restringir e validar os tipos de arquivo aceitos nas áreas de envio, em vez de aceitar qualquer coisa.
• Garantir que os uploads não sejam executáveis pelo servidor — a área de dados do Moodle deve ficar fora da pasta pública e sem permissão de execução.
• Manter Moodle, plugins e servidor atualizados, fechando brechas conhecidas.
• Limpar os arquivos sinalizados e revisar de onde vieram.
• Manter o monitoramento — porque a próxima tentativa também vai aparecer nos dados primeiro.

O resultado

A instituição soube do problema cedo, por dados, e com um plano claro na mão em vez de uma surpresa desagradável semanas depois. A diferença entre um susto e um incidente quase nunca está em "ter Moodle seguro" — está em alguém acompanhando os dados a tempo de agir. Como dizemos em o Moodle é seguro?, o software é seguro por design; a segurança final depende da operação — e operação inclui vigilância.