“Funcionários não devem abrir arquivos com essas extensões sem confirmação independente do remetente”, orienta a Kaspersky sobre anexos .vbs, .vbe, .exe, .bat, .cmd, .js e .ps1. A recomendação veio em 30 de junho de 2026, quando a empresa detalhou uma campanha que usa contas comprometidas do WhatsApp para entregar scripts disfarçados de faturas a computadores corporativos. Em 3 de novembro de 2026, uma nova isca apareceu: um arquivo .js com nome de proposta comercial, enviado junto a um pedido de desconto.
A orientação ao usuário ajuda, mas a defesa que não depende de atenção humana é técnica: impedir que o Windows execute esses scripts. Como fazer isso depende do tamanho do parque e das ferramentas que a empresa já usa.
Por que .js e .vbs ainda rodam no Windows
Os dois formatos são executados pelo Windows Script Host (wscript.exe e cscript.exe), presente no sistema desde o Windows 98 e ativo por padrão. Ao receber dois cliques, um .js não abre no navegador nem num editor: roda com as permissões do usuário, pode baixar outros arquivos e instalar programas. A documentação da Microsoft sobre o Windows Script Host descreve como desligar o componente por máquina ou por usuário.
Na maioria das empresas pequenas, ninguém usa esses scripts no dia a dia. As exceções são scripts de logon antigos, instaladores de alguns sistemas de gestão e rotinas de impressão. Levante isso antes de bloquear.
Escritório com poucos PCs e sem domínio
Sem servidor de domínio, o caminho é configurar máquina por máquina. São duas medidas que se completam.
Desligar o Windows Script Host no registro
Crie o valor Enabled (DWORD) com dado 0 em:
- HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Script Host\Settings, para todos os usuários do computador;
- HKEY_CURRENT_USER\Software\Microsoft\Windows Script Host\Settings, só para o usuário atual.
A entrada não existe por padrão. Com ela aplicada, qualquer tentativa de rodar .js ou .vbs mostra a mensagem de que o acesso ao Windows Script Host está desativado na máquina. O bloqueio não afeta PowerShell nem arquivos .bat.
Fazer o duplo clique abrir o Bloco de Notas
Em Configurações, Aplicativos, Aplicativos padrão, associe .js, .jse, .vbs, .vbe e .wsf ao Bloco de Notas. Se o bloqueio do registro for desfeito por alguma atualização ou instalação, o usuário ainda vê texto em vez de executar código.
Rede com Active Directory e GPO
Com domínio, as mesmas medidas viram política e valem para todo o parque:
- Em uma GPO de computador, use Preferências, Configurações do Windows, Registro para criar o valor Enabled = 0 na chave do Windows Script Host em HKLM.
- Em Preferências, Configurações do Painel de Controle, Opções de Pasta, crie associações Abrir com apontando as extensões de script para o notepad.exe.
- Para ir além, ative regras de script no AppLocker permitindo apenas scripts assinados ou localizados em pastas controladas pela TI. As regras de script cobrem .ps1, .bat, .cmd, .vbs e .js.
- Aplique primeiro numa unidade organizacional de teste com duas ou três máquinas e acompanhe por uma semana antes de estender.
Parque gerenciado pelo Intune e Defender
Quem já usa Microsoft Defender for Endpoint tem um atalho: as regras de Redução da Superfície de Ataque (ASR). Duas atacam diretamente esse golpe:
- Bloquear JavaScript ou VBScript de iniciar conteúdo executável baixado, que impede o script de buscar e rodar o segundo estágio do ataque;
- Bloquear a execução de scripts potencialmente ofuscados, que pega o código embaralhado comum nesses arquivos.
As regras podem começar em modo auditoria, que só registra o que seria bloqueado. É a forma mais segura de descobrir se algum sistema interno depende de scripts antes de ligar o bloqueio de vez.
Vale também revisar a lista de ferramentas de acesso remoto permitidas. Segundo o CyberSec Brazil, parte das campanhas via WhatsApp instala softwares legítimos de suporte remoto, que passam por soluções de segurança configuradas para confiar neles.
Como testar se o bloqueio funcionou
Crie um arquivo teste.js com uma linha inofensiva, como WScript.Echo(“teste”);, e dê dois cliques. Resultado esperado por camada:
| Medida aplicada | O que acontece no duplo clique |
|---|---|
| Nenhuma | Aparece uma janela com a palavra teste |
| Registro (Enabled = 0) | Mensagem de Windows Script Host desativado |
| Associação ao Bloco de Notas | O arquivo abre como texto |
| AppLocker | Bloqueio com aviso do administrador |
O mesmo cuidado com o que chega de fora vale para ferramentas de desenvolvimento, como mostrou o caso da extensão falsa do Claude Code no Cursor. Junto com o bloqueio, manter o Windows em dia reduz o que o script consegue explorar depois de rodar, como lembra o resumo do Patch Tuesday de outubro.
Se a sua empresa atende clientes pelo WhatsApp Desktop e ninguém da equipe roda scripts no dia a dia, o bloqueio pelo registro resolve a maior parte do risco em menos de dez minutos por máquina. Se existe algum sistema legado que depende de .vbs, comece pela associação ao Bloco de Notas e pelo modo auditoria, até mapear o que pode quebrar.
