Qubes OS + Parrot Pentest: Anonimato e Segurança Absoluta para Bug Hunters

            Publicado em 08 de Setembro, 2026 - Atualizado com as melhores práticas de segurança
        

// Capítulo 01

Por que Qubes + Parrot é a Combinação Suprema

O Ecossistema Definitivo para Pentest Anônimo

O Qubes OS é um sistema operacional baseado em hypervisor Xen que oferece compartimentação extrema através de VMs (qubes). Cada atividade - navegação, pentest, redes sociais - roda em VMs isoladas, limitando drasticamente a superfície de ataque. Já o Parrot OS é uma distribuição Linux especializada em segurança, pentest e privacidade, com mais de 2.000 ferramentas pré-instaladas.

Ao combinar Qubes OS com Parrot OS, você cria um ambiente onde cada ferramenta de pentest pode ser executada em uma VM descartável, com roteamento via Whonix (Tor) para anonimato total. Isso elimina a necessidade de confiar em máquinas virtuais tradicionais, que compartilham o mesmo kernel e podem vazar informações.

Esta configuração é ideal para Bug Hunters, pesquisadores de segurança e profissionais que precisam de anonimato real durante testes de invasão.

Comparativo de Arquiteturas de Segurança

VM Tradicional

Kernel compartilhado, riscos de escape, logs persistentes.

Segurança Baixa

Qubes + Whonix

Isolamento por hardware, anonimato via Tor, VMs descartáveis.

Segurança Máxima

Parrot OS Nativo

Distro completa, mas sem isolamento nativo, logs no disco.

Segurança Média

Atenção: Toda appVM e template no Qubes OS vem com configuração de firewall nftables padrão. Essa configuração impede que certas ferramentas de pentest funcionem! Scanners de porta ou de vulnerabilidade geralmente funcionam com essas regras de firewall, mas falham em algumas operações e o teste fica prejudicado. O Metasploit não consegue abrir sessões ou usar payloads depois de explorar uma vulnerabilidade, mesmo depois do check. Parrot OS, Kali Linux e outras distribuições de pentest vêm de fábrica com firewall aberto, sem nenhuma regra, permitindo tudo! Para fazer isso com as named disposables parrot-local e parrot que criamos neste guia, use: sudo nft flush ruleset. Depois disso, o Metasploit, as sessões e os payloads vão funcionar! Regras de kernel e outras configurações padrão do Qubes podem talvez impedir que as ferramentas funcionem, e isso é avançado e precisará ser analisado pelo pentester que usa essas named disposables! O ideal seria manter as regras de firewall do Qubes que são possíveis manter e permitir o funcionamento das ferramentas de pentest, mas isso é avançado e requer estudo e muito tempo gasto para cada caso e uso. Use appVMs, named disposables ou disposable templates de pentest somente para pentest; não use para outras atividades como lazer, transferências bancárias, pesquisas, etc. Por segurança, faça somente operações de pentest nelas!

// Capítulo 02

Criando o Template Parrot OS a partir do Debian

Passo 1

Clone e Renomeie o Template Debian

No Qubes OS 4.3, clone o template debian-13-xfce e renomeie para parrot-pentest.

                    # No Qubes Manager, clique com botão direito no template Debian
                    Clone VM -> Nome: parrot-pentest
                

Passo 2

Configure a NetVM como sys-whonix

Nas configurações do template, defina a NetVM como sys-whonix para garantir anonimato durante o download de pacotes.

# Settings -> NetVM: sys-whonix

Passo 3

Baixe e Execute o Script de Conversão

Dentro do template, baixe o script oficial do Parrot e execute a instalação.

                    sudo apt update && sudo apt upgrade -y
                    git clone https://gitlab.com/parrotsec/project/debian-conversion-script.git
                    cd debian-conversion-script
                    sudo chmod +x ./install.sh
                    sudo ./install.sh
                    # Escolha a opção 4 (parrot-tools-full) ou 3 + instalação manual
                

Passo 4

Instale as Ferramentas de Pentest

Se escolheu a opção 3, instale o pacote completo de ferramentas.

                    sudo apt install parrot-tools-full -y
                    # Isso instalará mais de 2000 ferramentas de pentest
                

Passo 5

Remova a NetVM e Realize um Pentest Interno

Desative a NetVM do template e execute verificações de segurança para garantir que não há backdoors.

                    # Settings -> NetVM: none
                    sudo apt install rkhunter chkrootkit
                    sudo rkhunter --checkall -sk
                    sudo chkrootkit
                    sudo lsof -i && sudo ss -tusp
                    # Verifique também com lynis, unix-privesc-check e grype para vulnerabilidades
                

// Capítulo 03

Configurando Named Disposable VMs para Pentest

Criação de VMs Descartáveis Baseadas no Parrot

As Named Disposable VMs no Qubes OS são VMs que utilizam um template base e descartam todas as alterações ao serem desligadas. Isso garante que nenhum dado ou malware persista entre sessões.

VM 1

parrot-disp (Template Disposable)

Crie uma VM do tipo DisposableVM baseada no template parrot-pentest e nomeie como parrot-disp.

VM 2

parrot (Named Disposable - Internet)

Crie uma Named Disposable VM usando o template parrot-disp. Defina a NetVM como sys-whonix para anonimato na web.

                        # Qube: parrot (AppVM, Template: parrot-disp)
                        # NetVM: sys-whonix
                    

VM 3

parrot-local (Named Disposable - Rede Interna)

Crie outra Named Disposable VM para pentest em redes locais. Configure a NetVM como none e adicione o serviço network-manager.

                        # Qube: parrot-local (AppVM, Template: parrot-disp)
                        # NetVM: none
                        # Settings -> Services -> Select: network-manager
                    

Conecte um adaptador USB-RJ45, anexe-o à VM e aguarde o Network Manager configurar automaticamente a rede.

Dica: Para persistência de arquivos, utilize uma AppVM comum ao invés de uma Named Disposable. Os dados em ~/ serão preservados, enquanto as configurações de root permanecem voláteis.

// Capítulo 04

Parrot Menu: Navegador de Ferramentas via CLI

A interface gráfica do Parrot OS dentro do Qubes pode ser confusa devido à sobrecarga de ferramentas. LeandroIbov desenvolveu o parrot-menu, um navegador via terminal que organiza todas as ferramentas do Parrot por categoria, facilitando a execução sem a necessidade de menus gráficos.

                # Clone o repositório e execute o script
                git clone https://github.com/leandroibov/parrot-menu.git
                cd parrot-menu
                sudo chmod +x parrot-menu.sh
                ./parrot-menu.sh
                # Navegue pelas categorias: Information Gathering, Vulnerability Analysis, etc.
            

O parrot-menu permite executar ferramentas diretamente do terminal, com autocomplete e descrições detalhadas, otimizando o fluxo de trabalho no Qubes.

// Capítulo 05

Nível de Anonimato e Segurança para Bug Hunters

A combinação Qubes OS + Whonix + Parrot OS oferece o mais alto nível de anonimato e segurança para bug hunters, pesquisadores e profissionais de segurança que precisam de discrição absoluta.

Qubes + Whonix + Parrot

Isolamento por hardware, roteamento Tor, VMs descartáveis, sem logs persistentes, compartimentação total.

Anonimato Total

VM Tradicional (VirtualBox)

Kernel compartilhado, logs no host, riscos de escape de VM, exposição de serial ao conectar dispositivos.

Anonimato Parcial

PC Normal (Kali/Parrot Nativo)

Sem isolamento, rastreamento por IP, logs de sistema, fingerprinting, acesso direto a seriais de hardware.

Exposição Total

O Problema do Computador Normal (Sem Virtualização)

Em um computador rodando um sistema operacional como Kali Linux ou Parrot OS de forma nativa, o sistema tem contato direto com todos os hardwares da máquina. Isso significa que, se um atacante conseguir invadir o sistema - seja por uma backdoor em uma atualização, um ataque de supply chain, ou um zero-day - ele terá acesso a informações críticas que podem desanonimizar completamente o usuário.

Os números de série (serials) da placa-mãe, placa de rede, processador, SSDs e outros componentes ficam registrados no sistema operacional. Com esses dados, um governo, uma agência de inteligência ou mesmo um criminoso pode identificar fisicamente o dono do computador. Além disso, o tráfego de rede pode ser rastreado até o IP real, e o sistema pode ser fingerprintado de diversas formas.

O Gargalo das Máquinas Virtuais Tradicionais

Muitos profissionais migram para máquinas virtuais (como VirtualBox) combinadas com Whonix e uma distribuição de pentest. Essa abordagem já é um avanço significativo, pois o sistema operacional de pentest não tem mais contato direto com o hardware. No entanto, existe um gargalo crítico que muitos ignoram: a transferência de arquivos.

Em algum momento, o profissional precisará salvar relatórios, logs, ferramentas ou resultados de testes. Para isso, ele conecta um pendrive ou HD externo à máquina host, e transfere os arquivos da VM para esse dispositivo. O problema é que o número de série do dispositivo de armazenamento fica registrado no sistema operacional da VM (e, por extensão, pode ser acessado pelo atacante caso ele invada a VM).

Se o atacante tiver acesso ao serial do pendrive ou HD, ele pode cruzar informações com logs de vendas, registros de fabricantes ou dados de vigilância, e assim identificar o usuário. Além disso, o atacante pode monitorar quais dispositivos são conectados ao computador, criando um perfil de comportamento.

Outro problema é que as VMs tradicionais compartilham o mesmo kernel do host (em muitos casos), e há riscos conhecidos de escape de VM, onde um atacante consegue quebrar o isolamento da máquina virtual e acessar o sistema hospedeiro. Uma vez no host, o atacante tem acesso a todos os hardwares e seriais.

A Solução Qubes OS: A VM Vault e o Isolamento Total

O Qubes OS foi projetado especificamente para resolver esse problema de isolamento de hardware. Sua arquitetura baseada em hypervisor Xen permite que cada VM seja completamente independente, com seu próprio kernel e espaço de memória. E o diferencial crucial é a VM Vault.

A Vault é uma VM isolada e offline que funciona como um "cofre" digital. Ela deve ser usada, para conectar dispositivos de armazenamento físico, como pendrives, HDs externos ou SSDs. Dessa forma, os números de série desses dispositivos ficam restritos à Vault, e nunca chegam à VM de pentest (Parrot) ou à internet.

Estratégia de Anonimato com a Vault: O fluxo de trabalho seguro é:
1. Conecte o dispositivo de armazenamento (HD/pendrive) apenas na VM Vault.
2. Transfira os arquivos da VM Parrot para a VM Vault via rede interna isolada do Qubes.
3. Nunca conecte o dispositivo diretamente na VM de pentest. O serial number nunca será exposto à VM que está em contato com a internet.
4. Se a VM Parrot for invadida (mesmo com um zero-day), o atacante ficará preso nela, sem acesso à Vault ou aos seriais de hardware.

Comparativo Detalhado de Ameaças

Ameaça / Vetor	PC Normal	VM Tradicional	Qubes OS + Vault
Serial de Hardware Exposto	Sim (total)	Parcial	Não (isolado na Vault)
Risco de Escape de VM	N/A (já é host)	Alto	Mínimo (Xen)
Persistência de Malware	Alta	Média	Nula (VMs descartáveis)
Rastreamento por IP	Sim	Não (Whonix)	Não (Whonix)
Fingerprinting de Navegador	Sim	Parcial	Não
Segurança em Caso de Invasão	Desanonimização total	Risco de serial via host	Atacante preso na VM

Benefícios Finais para Bug Hunters e Profissionais

Isolamento por Hardware: Cada VM roda em domínios separados do hypervisor Xen, evitando vazamento de dados entre atividades.
Roteamento via Whonix: Todo tráfego de rede passa pelo Tor, garantindo anonimato real, mesmo para ferramentas de linha de comando.
VMs Descartáveis (Named Disposable): Não há persistência de malware ou logs, pois a VM é destruída ao ser desligada. Qualquer zero-day explorado é aniquilado no desligamento.
Zero KYC: Não é necessário fornecer identidade para utilizar o Qubes ou o Parrot, mantendo o anonimato completo do início ao fim.
Compartimentação de Identidades: É possível ter VMs separadas para diferentes personas (cliente, bug bounty, pesquisa, redes sociais) sem interação entre elas.
Segurança de Pagamentos: O profissional pode receber pagamentos em criptomoedas anônimas (como Monero) com segurança, pois mesmo que sua VM de pentest seja invadida, não há como provar que aquela VM é sua, já que não há vestígios de hardware ou identidade pessoal.
Proteção Contra Sequestro e Perseguição: Se o governo ou criminosos descobrirem que você recebe grandes quantias em criptomoedas por serviços de segurança, você se torna um alvo. O Qubes garante que você permaneça invisível, mesmo sob ataque.

Boas Práticas de OpSec (Segurança Operacional):
o Nunca conecte dispositivos de armazenamento diretamente na VM de pentest. Use sempre a Vault.
o Mantenha o sistema atualizado (apt update && apt upgrade) regularmente.
o Utilize senhas fortes e diferentes para cada VM.
o Evite executar arquivos desconhecidos ou de fontes não confiáveis.
o Considere usar o parrot-menu (script desenvolvido por LeandroIbov) para navegar pelas ferramentas do Parrot OS via terminal, evitando a bagunça do menu gráfico no Qubes.
o Lembre-se: o anonimato não é um produto, é um processo. A disciplina operacional é tão importante quanto a tecnologia.

Vantagem Estratégica: Ao dominar o Qubes OS com Parrot OS, você se torna parte de um seleto grupo de profissionais que conseguem operar com anonimato real em ambientes hostis. A mão de obra especializada em Qubes é raríssima - nem mesmo em outros países há muitos especialistas. Dominar esse ecossistema é um diferencial competitivo imenso no mercado de cibersegurança.

Eleve sua Segurança ao Próximo Nível

Domine a arte do pentest anônimo com a combinação definitiva de Qubes OS, Whonix e Parrot OS. Nossa consultoria especializada pode ajudar você a estruturar um ambiente de pentest robusto e anônimo.

Consultoria Especializada Central de Segurança