Um administrador de sistemas recebe o seguinte alerta de uma ferramenta de monitoramento de integridade de arquivos: O hash do arquivo cmd.exe foi alterado. O administrador de sistemas verifica os logs do sistema operacional e percebe que nenhum patch foi aplicado nos últimos dois meses. Qual das seguintes opções provavelmente ocorreu?

A alteração inesperada do hash de um arquivo de sistema crítico como cmd.exe, sem aplicação recente de patches, é um forte indicador de comprometimento. Rootkits são projetados para se esconderem no sistema e frequentemente modificam arquivos do sistema ou do kernel para manter a persistência e evadir a detecção. Alterar permissões de arquivo não alteraria o hash do conteúdo do arquivo. Uma colisão criptográfica é extremamente improvável de ocorrer aleatoriamente em um arquivo de sistema e ser detectada dessa forma. Um snapshot do sistema de arquivos não alteraria o hash do arquivo original, apenas criaria uma cópia em um ponto no tempo.