Início
Páginas para explorar
Tipos de ransomware

Esteja preparado para esses tipos comuns de ransomware

6 formas de ataques de ransomware, 9 ataques de ransomware de grande repercussão e 12 variantes atuais de ransomware que você deve conhecer.

Visão geral

Entendendo os tipos comuns de ransomware em 2024

De todos os perigos no cenário atual de ameaças, o ransomware talvez seja o mais temido. Os diferentes tipos de ataques de ransomware podem variar em motivo e mecanismo, mas todos têm uma coisa em comum: tornar os dados da vítima inacessíveis. Para uma empresa moderna, isso pode representar uma ameaça existencial.

Vamos conhecer melhor as formas mais comuns de ransomware, incluindo:

Lockers
Ransomware de criptografia
Scareware
Ransomware como Serviço (RaaS)
Extortionware (incluindo Doxware e Leakware)
Malware do tipo wiper

Você também aprenderá sobre ataques de grande repercussão ocorridos no passado, bem como sobre as ameaças de ransomware mais graves da atualidade.

Tipos de ransomware

Os 6 tipos mais comuns de ataques de ransomware

Quando as pessoas ouvem a palavra “ransomware”, geralmente pensam em criptografia forçada. Embora esse seja um fator presente em muitos dos ataques de ransomware de maior repercussão, nem sempre é o caso. O que realmente define um ataque de ransomware é – como o nome sugere – uma exigência de pagamento para restaurar a capacidade da vítima de usar seus dados. Podemos observar essa tática em ação nos seis tipos comuns de ataques de ransomware a seguir.

1. Ransomware
de criptografia Uma das formas mais conhecidas e prejudiciais de ransomware, o ransomware de criptografia (ou criptografador) criptografa à força os arquivos e dados dentro de um sistema, tornando o conteúdo inacessível, a menos que a vítima pague o resgate. Para aumentar a pressão, os desenvolvedores desse tipo de ransomware costumam incluir uma contagem regressiva em sua exigência; após esse prazo, os arquivos serão excluídos. É claro que, mesmo que o resgate seja pago — normalmente em criptomoeda —, não há garantia de que os autores da ameaça cumpram a promessa de fornecer uma chave de descriptografia. Formas comuns de ransomware de criptografia incluem o Hive, o REvil e o Ryuk.

2. Lockers
Em vez de criptografar arquivos, o ransomware do tipo “locker” bloqueia o acesso aos dados ao desativar funções básicas do computador, tornando seus arquivos e aplicativos inoperantes. Normalmente, você não consegue acessar sua área de trabalho, embora mantenha funcionalidade suficiente do mouse e do teclado para enviar o pagamento. Uma tela de bloqueio exibe a exigência de resgate, muitas vezes acompanhada do temido relógio de contagem regressiva. Embora a destruição completa dos seus dados seja improvável, o malware pode se espalhar rapidamente pela sua rede para infectar outros dispositivos da sua organização. Formas comuns de ransomware do tipo “locker” incluem o CryptoLocker e o Locky.

3. Ransomware como Serviço
( RaaS) Atualmente em franca ascensão, o RaaS traz a conveniência do SaaS para o crime cibernético. Nessa forma de ameaça, o ataque é executado por um grupo profissional de RaaS que hospeda e distribui seu próprio malware, coleta pagamentos das vítimas e restaura o acesso (idealmente) em troca de uma parte do resgate. O RaaS oferece a cibercriminosos menos sofisticados tecnicamente ou amadores a capacidade de realizar um ataque de ransomware altamente eficaz. Para os criadores do malware utilizado, realizar o ataque em nome de seus clientes significa ganhar dinheiro fácil com menos risco. As gangues de RaaS podem usar qualquer tipo de malware de sua escolha, mas as formas mais comuns incluem o LockBit, o Black Basta e o BlackMatter, sucessor do DarkSide.

4. Extortionware
Aumentando a ameaça do ransomware comum, o extortionware vai além da criptografia ao ameaçar divulgar dados proprietários ou informações de identificação pessoal (PII) sobre seus alvos, a menos que seja feito um pagamento. Quando tais ataques têm como alvo uma vítima individual — uma versão também conhecida como doxware —, essa divulgação pode colocar a pessoa em risco de humilhação pública, carreiras ou relacionamentos pessoais arruinados, ou até mesmo danos físicos. Quando o escopo do invasor se concentra de forma mais ampla em uma organização como um todo — ou seja, o “Leakware” —, o impacto potencial se assemelha a qualquer outro tipo de violação de dados, incluindo constrangimento público, danos às relações com clientes e comerciais e multas regulatórias. Os softwares comumente usados em diferentes tipos de ataques de extortionware incluem o DoppelPaymer, o Revil e o EvilQuest.

5. Malware
wiper Embora não se encaixe na definição clássica de ransomware, os ataques de malware wiper frequentemente se disfarçam como ransomware; por isso, é importante entender como os dois se comparam. Assim como o ransomware, o malware wiper restringe o acesso do usuário aos dados. Assim como em um ataque de ransomware, os agentes maliciosos costumam exigir um pagamento, talvez usando um relógio de contagem regressiva para criar um efeito dramático. Mas há uma diferença fundamental: na maioria dos casos, os autores de um ataque de malware do tipo “wiper” não têm a intenção de restaurar o acesso da vítima aos dados. Seu principal objetivo é causar estragos ao destruir os dados permanentemente, e qualquer dinheiro que ganhem no processo é simplesmente um bônus por um trabalho bem feito. Entre os softwares usados em ataques de malware do tipo “wiper” estão o NotPetya e o KillDisk.

6. Scareware
Frequentemente eficaz contra vítimas menos experientes, o scareware é um software falso que alega ter detectado um vírus ou outro problema no seu computador e o orienta a pagar para resolver o problema. Um alerta pop-up – ou uma enxurrada deles – insta o usuário a baixar uma ferramenta ou serviço para resolver o problema. É claro que é justamente esse software baixado que, na verdade, dá ao invasor acesso ao sistema. Nesse momento, alguns tipos de scareware bloqueiam o computador e exigem um resgate, embora geralmente não danifiquem o sistema nem comprometam os arquivos. Formas comuns de scareware incluem o Mac Defender e o WinFixer.

ataques de ransomware

9 ataques de ransomware bem conhecidos

Uma lista completa dos ataques de ransomware divulgados publicamente seria mais longa do que você gostaria de ler, e muitas vítimas, compreensivelmente, permanecem em silêncio (embora as empresas de capital aberto sejam obrigadas pela SEC a divulgar os ataques cibernéticos). Alguns exemplos de grande repercussão deixam bem claro o dano potencial — incluindo pagamentos de resgate, bem como seu impacto mais amplo.

1) CryptoLocker (2013-2014) – Um dos primeiros grandes ataques de ransomware, que se espalhou por meio de anexos de e-mail infectados e da botnet Gameover ZeuS, o CryptoLocker extorquiu cerca de US$ 3 milhões em pagamentos de várias pequenas e médias empresas.

2) WannaCry (2017) – Esse ataque global afetou mais de 230 mil computadores em 150 empresas. O Serviço Nacional de Saúde do Reino Unido sofreu perdas estimadas em US$ 92 milhões, além de sofrimento incalculável para pacientes, profissionais de saúde e instituições. As perdas totais em todo o mundo chegaram a US$ 4 bilhões.

3) Petya/NotPetya (2017) – Essa campanha de grande sucesso causou US$ 10 bilhões em prejuízos globalmente, incluindo US$ 300 milhões para a empresa de navegação Maersk.

4) GandCrab (2018-2019) – Visando inúmeras pequenas e médias empresas, em vez de poucas vítimas ricas, o GandCrab causou danos totais estimados em US$ 2 bilhões em todo o mundo.

5) REvil/Sodinokibi (2021) – Utilizado em mais de um quinto dos casos de resposta a incidentes da IBM em 2022, estima-se que o REvil tenha infectado cerca de 175.000 computadores em todo o mundo, com pelo menos US$ 200 milhões pagos em resgate. Somente a JBS Foods pagou, segundo relatos, US$ 11 milhões.

6) Maze (2019-2020) – A consultoria de TI Cognizant sofreu um duro golpe com a variante do ransomware Maze. A empresa relatou perdas diretas com Recovery entre US$ 50 milhões e US$ 70 milhões; somando a receita perdida, o impacto financeiro total foi estimado em até US$ 140 milhões.

7) Ryuk (2020) – Um ataque direcionado à Universal Health Services afetou 250 unidades de atendimento nos EUA. O impacto a longo prazo é difícil de avaliar, mas as perdas a curto prazo totalizaram US$ 67 milhões.

8) DarkSide (2021) – Mais conhecido por seu impacto na Colonial Pipeline, esse ataque RaaS rendeu um resgate de US$ 4,4 milhões – mas isso é apenas parte do quadro. Os invasores também roubaram cerca de 100 GB de dados dos servidores da empresa. Enquanto isso, a escassez generalizada de combustível e os aumentos de preços se espalharam pelos mercados de consumo, empresarial e financeiro.

9) ALPHV/BlackCat e Scattered Spider (2023) – Os grupos de ransomware colaboraram em um ataque à MGM Resorts, obtendo acesso inicial por meio de táticas de engenharia social no LinkedIn. Apesar das interrupções significativas em suas operações e na experiência dos hóspedes por quase duas semanas, a empresa se recusou a pagar o resgate – mas sofreu uma perda estimada de US$ 100 milhões em receita e outros danos.

Ameaças de ransomware

12 das ameaças de ransomware mais graves da atualidade

O cenário atual do ransomware está se tornando cada vez mais fragmentado. Embora muitas variantes antigas e conhecidas possam ter evoluído, mudado de nome ou encerrado suas atividades, novos grupos continuam surgindo. Muitos, ou a maioria deles, adotam a forma de RaaS (Ransomware como Serviço) e utilizam táticas de dupla extorsão, nas quais resgates distintos devem ser pagos para a descriptografia e a exclusão dos dados roubados.

Aqui estão doze ameaças de ransomware das quais você deve estar ciente neste momento.

1) LockBit – Operado por uma gangue de RaaS altamente sofisticada, o LockBit é uma das formas mais prolíficas e destrutivas de ransomware em todo o mundo. Ele usa ferramentas nativas do Windows para escapar da detecção, disfarça seu executável como um arquivo .PNG e pode se propagar sozinho por uma rede com intervenção manual mínima. O marketing agressivo, uma interface amigável e um modelo atraente de repartição de lucros têm impulsionado sua crescente popularidade.

2) PLAY – Também conhecido como PlayCrypt, essa sofisticada ameaça cibernética surgiu em junho de 2022 com foco na América Latina. Atualmente disponível como RaaS, o PLAY explora vulnerabilidades em ativos expostos ao público, como o Fortinet SSL VPN e o Microsoft Exchange ProxyNotShell, e usa contas válidas comprometidas para obter acesso inicial.

3) Black Basta – Desde o início de 2022, o Black Basta tem sido uma das operações RaaS mais ativas do mundo. O grupo utiliza uma tática de dupla extorsão, criptografando os dados das vítimas e, em seguida, ameaçando publicar informações confidenciais. Evoluindo continuamente suas táticas, o Black Basta incorporou recentemente ataques DDoS por e-mail e phishing por voz (vishing) às suas operações.

4) RansomHub – Relativamente novo, mas em rápido crescimento, o RaaS RansomHub tem como alvo setores de infraestrutura crítica, como saúde, gestão de recursos hídricos, serviços financeiros e serviços governamentais. Táticas comuns como phishing, exploração de vulnerabilidades e “password spraying”, utilizadas em conjunto com ferramentas “EDR-killer”, ajudaram o grupo a invadir mais de 200 vítimas, incluindo a casa de leilões Christie’s e a Change Healthcare.

5) Hunters International – Possivelmente uma versão renomeada do Hive, o Hunters International opera como um RaaS focado principalmente na exfiltração de dados e extorsão, em vez da criptografia de arquivos. Escrito em Rust, o que aumenta sua capacidade de evitar detecção e acelerar a criptografia, o malware é conhecido por sua capacidade de encerrar processos, excluir backups e desativar mecanismos de recuperação.

6) Akira – Mais um RaaS conhecido por táticas de dupla extorsão, o Akira rapidamente se tornou uma das principais ameaças globais de ransomware. As exigências de resgate geralmente variam de US$ 200.000 a mais de US$ 4 milhões, com a maioria das vítimas nos setores de educação, finanças, manufatura e saúde.

7) Medusa – Espalhando-se rapidamente por meio de afiliados globais, o RaaS Medusa geralmente obtém acesso inicial explorando serviços vulneráveis ou por meio de campanhas de phishing. Uma vez dentro do sistema, ele encerra mais de 280 serviços e processos do Windows para facilitar a criptografia. Um blog que expõe publicamente as vítimas, tanto na dark web quanto na surface web, consolidou sua notoriedade na comunidade de segurança cibernética.

8) BianLian – Atualmente uma das principais ameaças globais de ransomware, o BianLian mudou recentemente seu foco da criptografia para ataques de extorsão. Frequentemente obtendo acesso por meio de credenciais RDP comprometidas, o grupo utiliza ferramentas de código aberto e scripts de linha de comando para coletar credenciais e descobrir dados, e então extrai os dados por meio de serviços de compartilhamento de arquivos como FTP, Rclone ou Mega.

9) 8Base – Tendo surgido inicialmente em 2022 sob o disfarce de testadores de penetração, o 8Base agora opera esquemas de dupla extorsão contra pequenas e médias empresas nos EUA, no Brasil e no Reino Unido. Seu malware desativa componentes do Windows Defender, exclui cópias de sombra, limpa logs de eventos e modifica entradas do Registro para contornar o Controle de Acesso do Usuário e garantir persistência.

10) INC Ransomware – Desde julho de 2023, essa operação obtém acesso por meio de e-mails de spear-phishing ou explorando serviços vulneráveis e, em seguida, utiliza uma combinação de ferramentas comerciais e binários “living-off-the-land” (LOLBINs) para reconhecimento e movimentação lateral. O grupo oferece cinicamente o “serviço” de revelar seus métodos para tornar o ambiente da vítima mais seguro após o pagamento.

11) Qilin – Operando originalmente seu RaaS sob o nome de Agenda, o Qilin utiliza uma estratégia de dupla extorsão com pedidos de resgate que variam de US$ 50.000 a US$ 800.000. Malware avançado escrito em Golang e Rust obtém acesso inicial por meio de e-mails de phishing e redes VPN sem autenticação multifatorial. Recursos personalizáveis, como a alteração de extensões de arquivos e o encerramento de processos específicos, tornam o serviço altamente adaptável.

12) Vanir Group – Desde sua estreia em julho de 2024, a gangue RaaS Vanir Group desenvolveu vínculos com ex-membros de outros grupos notáveis de ransomware, o que lhe permitiu crescer rapidamente em sofisticação. O grupo é conhecido tanto por sua aparência profissional quanto por táticas altamente agressivas, como o envio de mensagens intimidadoras a CEOs para dar urgência às exigências de dupla extorsão.

Tanto os tipos de software de ransomware quanto as táticas dos grupos que os empregam estão em constante evolução. Não há como garantir proteção total contra uma violação, mas, ao manter um foco constante na proteção de dados, no Backup and Recovery, bem como nos recursos de resiliência cibernética, é possível mitigar o risco que essas ameaças representam. Fique atento, esteja preparado e você poderá ajudar a garantir a continuidade dos negócios, não importa o que aconteça.