Início
Páginas de exploração
Tipos de ransomware

Esteja preparado para esses tipos comuns de ransomware

6 formas de ataques de ransomware, 9 ataques de ransomware de grande repercussão e 12 variantes atuais de ransomware que você deve conhecer.

Visão geral

Entendendo os tipos comuns de ransomware em 2024

De todos os perigos no cenário atual de ameaças, o ransomware talvez seja o mais temido. Os diferentes tipos deataques de ransomwarepodem variar em motivo e mecanismo, mas todos têm uma coisa em comum: tornar os dados da vítima inacessíveis. Para uma empresa moderna, isso pode representar uma ameaça existencial.

Vamos conhecer melhor as formas mais comuns de ransomware, incluindo:

Armários
Ransomware de criptografia
Scareware
Ransomware como Serviço (RaaS)
Extortionware (incluindo Doxware e Leakware)
Malware do tipo wiper

Você também aprenderá sobre ataques de grande repercussão ocorridos no passado, bem como sobre as ameaças de ransomware mais graves da atualidade.

Ransomware Tipos

Os 6 tipos mais comuns de ataques de ransomware

Quando as pessoas ouvem a palavra “ransomware”, geralmente pensam em criptografia forçada. Embora esse seja um fator presente em muitos dos ataques de ransomware de maior repercussão, nem sempre é o caso. O que realmente define um ataque de ransomware é – como o nome sugere – uma exigência de pagamento para restaurar a capacidade da vítima de usar seus dados. Podemos observar essa tática em ação nos seis tipos comuns de ataques de ransomware a seguir.

1. Ransomware de criptografia
de criptografia Uma das formas mais conhecidas e prejudiciais de ransomware, o ransomware de criptografia (ou criptografador) criptografa à força os arquivos e dados dentro de um sistema, tornando o conteúdo inacessível a menos que a vítima pague o resgate. Para aumentar a pressão, os desenvolvedores desse tipo de ransomware costumam incluir uma contagem regressiva em sua exigência, após a qual os arquivos serão excluídos. É claro que, mesmo que o resgate seja pago — normalmente em criptomoeda —, não há garantia de que os autores da ameaça cumpram a promessa de fornecer uma chave de descriptografia. Formas comuns de crypto ransomware incluem o Hive, o REvil e o Ryuk.

2. Armários
Em vez de criptografar arquivos, o ransomware do tipo “locker” bloqueia o acesso aos dados ao desativar funções básicas do computador, tornando seus arquivos e aplicativos inoperantes. Normalmente, você não consegue acessar sua área de trabalho, embora mantenha funcionalidade suficiente do mouse e do teclado para enviar o pagamento. Uma tela de bloqueio exibe a exigência de resgate, muitas vezes acompanhada do temido relógio de contagem regressiva. Embora a destruição completa dos seus dados seja improvável, o malware pode se espalhar rapidamente pela sua rede para infectar outros dispositivos da sua organização. Formas comuns de ransomware do tipo “locker” incluem o CryptoLocker e o Locky.

3. Ransomware como Serviço
( RaaS) Atualmente em franca ascensão, o RaaS traz a conveniência do SaaS para o crime cibernético. Nessa forma de ameaça, o ataque é executado por um grupo profissional de RaaS que hospeda e distribui seu próprio malware, coleta pagamentos das vítimas e restaura o acesso (idealmente) em troca de uma parte do resgate. O RaaS oferece a cibercriminosos menos sofisticados tecnicamente ou amadores a capacidade de realizar um ataque de ransomware altamente eficaz. Para os criadores do malware utilizado, realizar o ataque em nome de seus clientes significa ganhar dinheiro fácil com menos risco. As gangues de RaaS podem usar qualquer tipo de malware de sua escolha, mas as formas mais comuns incluem o LockBit, o Black Basta e o BlackMatter, sucessor do DarkSide.

4. Software de extorsão
Aumentando a ameaça do ransomware comum, o extortionware vai além da criptografia ao ameaçar divulgar dados proprietários ou informações de identificação pessoal (PII) sobre seus alvos, a menos que seja feito um pagamento. Quando tais ataques têm como alvo uma vítima individual — uma versão também conhecida como doxware —, essa divulgação pode colocar a pessoa em risco de humilhação pública, carreiras ou relacionamentos pessoais arruinados, ou até mesmo danos físicos. Quando o escopo do invasor se concentra de forma mais ampla em uma organização como um todo — ou seja, o “Leakware” —, o impacto potencial se assemelha a qualquer outro tipo de violação de dados, incluindo constrangimento público, danos às relações com clientes e comerciais e multas regulatórias. Os softwares comumente usados em diferentes tipos de ataques de extortionware incluem o DoppelPaymer, o Revil e o EvilQuest.

5. Malware do tipo Wiper
wiper Embora não se encaixe na definição clássica de ransomware, os ataques de malware wiper frequentemente se disfarçam como ransomware; por isso, é importante entender como os dois se comparam. Assim como o ransomware, o malware wiper restringe o acesso do usuário aos dados. Tal como em um ataque de ransomware, os agentes maliciosos costumam exigir um pagamento, talvez usando um relógio de contagem regressiva para criar um efeito dramático. Mas há uma diferença fundamental: na maioria dos casos, os autores de um ataque de malware do tipo “wiper” não têm intenção de restaurar o acesso da vítima aos dados. Seu principal objetivo é causar estragos ao destruir os dados permanentemente, e qualquer dinheiro que ganhem no processo é simplesmente um bônus por um trabalho bem feito. Entre os softwares usados em ataques de malware do tipo “wiper” estão o NotPetya e o KillDisk.

6. Scareware
Frequentemente eficaz contra vítimas menos experientes, o scareware é um software falso que alega ter detectado um vírus ou outro problema no seu computador e o orienta a pagar para resolver o problema. Um alerta pop-up – ou uma enxurrada deles – insta o usuário a baixar uma ferramenta ou serviço para resolver o problema. É claro que é justamente esse software baixado que, na verdade, dá ao invasor acesso ao sistema. Nesse momento, alguns tipos de scareware bloqueiam o computador e exigem um resgate, embora geralmente não danifiquem o sistema nem comprometam os arquivos. Formas comuns de scareware incluem o Mac Defender e o WinFixer.

ataques de ransomware

9 ataques de ransomware bem conhecidos

Uma lista completa dos ataques de ransomware divulgados publicamente seria mais longa do que você gostaria de ler, e muitas vítimas, compreensivelmente, permanecem em silêncio (embora as empresas de capital aberto sejam obrigadas pela SEC a divulgar os ataques cibernéticos). Alguns exemplos de grande repercussão deixam bem claro o dano potencial — incluindo pagamentos de resgate, bem como seu impacto mais amplo.

1) CryptoLocker (2013-2014) – Um dos primeiros grandes ataques de ransomware, que se espalhou por meio de anexos de e-mail infectados e da botnet Gameover ZeuS, o CryptoLocker extorquiu cerca de US$ 3 milhões em pagamentos de várias pequenas e médias empresas.

2) WannaCry (2017) – Esse ataque global afetou mais de 230 mil computadores em 150 empresas. O Serviço Nacional de Saúde do Reino Unido sofreu perdas estimadas em US$ 92 milhões, além de transtornos incalculáveis para pacientes, profissionais de saúde e unidades de atendimento. As perdas totais em todo o mundo chegaram a US$ 4 bilhões.

3) Petya/NotPetya (2017) – Essa campanha de grande sucesso causou prejuízos de US$ 10 bilhões em todo o mundo, incluindo US$ 300 milhões para a empresa de navegação Maersk.

4) GandCrab (2018-2019) – Tendo como alvo inúmeras pequenas e médias empresas, em vez de poucas vítimas ricas, o GandCrab causou prejuízos totais estimados em US$ 2 bilhões em todo o mundo.

5) REvil/Sodinokibi (2021) – Utilizado em mais de um quinto dos casos de resposta a incidentes da IBM em 2022, estima-se que o REvil tenha infectado cerca de 175 mil computadores em todo o mundo, com pelo menos US$ 200 milhões pagos em resgate. Só a JBS Foods teria pago US$ 11 milhões.

6) Maze (2019-2020) – A consultoria de TI Cognizant sofreu um duro golpe com a variante do ransomware Maze. A empresa relatou perdas diretas com a Recovery de US$ 50 milhões a US$ 70 milhões; somando a receita perdida, o impacto financeiro total foi estimado em até US$ 140 milhões.

7) Ryuk (2020) – Um ataque direcionado à Universal Health Services afetou 250 unidades de atendimento nos Estados Unidos. É difícil avaliar o impacto a longo prazo, mas as perdas a curto prazo totalizaram US$ 67 milhões.

8) DarkSide (2021) – Mais conhecido por seu impacto na Colonial Pipeline, esse ataque do tipo RaaS rendeu um resgate de US$ 4,4 milhões – mas isso é apenas parte do quadro. Os invasores também roubaram cerca de 100 GB de dados dos servidores da empresa. Enquanto isso, a escassez generalizada de combustível e os aumentos de preços causaram um efeito cascata nos mercados de consumo, empresarial e financeiro.

9) ALPHV/BlackCat e Scattered Spider (2023) – Os grupos de ransomware colaboraram em um ataque à MGM Resorts, obtendo acesso inicial por meio de táticas de engenharia social no LinkedIn. Apesar das perturbações significativas em suas operações e na experiência dos hóspedes ao longo de quase duas semanas, a empresa se recusou a pagar o resgate – mas sofreu uma perda estimada de US$ 100 milhões em receita e outros danos.

Ameaças de ransomware

12 das ameaças de ransomware mais graves da atualidade

O panorama atual do ransomware está se tornando cada vez mais fragmentado. Embora muitas variantes antigas e conhecidas possam ter evoluído, mudado de nome ou encerrado suas atividades, novos grupos continuam surgindo. Muitos deles, ou a maioria, adotam o modelo RaaS e utilizam táticas de dupla extorsão, nas quais é necessário pagar resgates distintos para a descriptografia e para a exclusão dos dados roubados.

Aqui estão doze ameaças de ransomware que você deve conhecer neste momento.

1) LockBit – Desenvolvido por um grupo de RaaS altamente sofisticado, o LockBit é uma das formas mais prolíficas e destrutivas de ransomware em todo o mundo. Ele utiliza ferramentas nativas do Windows para evitar a detecção, disfarça seu executável como um arquivo .PNG e pode se propagar automaticamente por uma rede com intervenção manual mínima. O marketing agressivo, uma interface intuitiva e um modelo atraente de repartição de lucros têm impulsionado sua crescente popularidade.

2) PLAY – Também conhecido como PlayCrypt, essa sofisticada ameaça cibernética surgiu em junho de 2022 com foco na América Latina. Atualmente disponível como um RaaS, o PLAY explora vulnerabilidades em ativos expostos ao público, como o SSL VPN da Fortinet e o ProxyNotShell do Microsoft Exchange, e utiliza contas válidas comprometidas para obter acesso inicial.

3) Black Basta – Desde o início de 2022, o Black Basta tem sido uma das operações de RaaS mais ativas do mundo. O grupo utiliza uma tática de dupla extorsão, criptografando os dados das vítimas e, em seguida, ameaçando divulgar informações confidenciais. Em constante evolução de suas táticas, o Black Basta incorporou recentemente ataques DDoS por e-mail e phishing por voz (vishing) aos seus ataques.

4) RansomHub – Relativamente novo, mas em rápido crescimento, o RansomHub RaaS tem como alvo setores de infraestrutura crítica, como saúde, gestão hídrica, serviços financeiros e serviços governamentais. Táticas comuns, como phishing, exploração de vulnerabilidades e “password spraying”, utilizadas em conjunto com ferramentas para contornar o EDR, ajudaram o grupo a invadir mais de 200 vítimas, incluindo a casa de leilões Christie’s e a Change Healthcare.

5) Hunters International – Possivelmente uma versão renomeada do Hive, o Hunters International opera como um RaaS (Ransomware como Serviço) focado principalmente na exfiltração de dados e na extorsão, em vez da criptografia de arquivos. Escrito em Rust, o que aumenta sua capacidade de escapar da detecção e acelerar a criptografia, o malware é conhecido por sua capacidade de encerrar processos, excluir backups e desativar mecanismos de Recovery.

6) Akira – Mais um RaaS conhecido por táticas de dupla extorsão, o Akira rapidamente se tornou uma das principais ameaças globais de ransomware. Os valores exigidos como resgate variam normalmente de US$ 200.000 a mais de US$ 4 milhões, sendo que a maioria das vítimas pertence aos setores de educação, finanças, manufatura e saúde.

7) Medusa – Espalhando-se rapidamente por meio de afiliados globais, o Medusa RaaS geralmente obtém acesso inicial explorando serviços vulneráveis ou por meio de campanhas de phishing. Uma vez dentro do sistema, ele encerra mais de 280 serviços e processos do Windows para facilitar a criptografia. O blog que expõe publicamente as vítimas, tanto na dark web quanto na surface web, contribuiu para sua notoriedade na comunidade de segurança cibernética.

8) BianLian – Atualmente considerada uma das principais ameaças globais de ransomware, o BianLian mudou recentemente seu foco da criptografia para ataques de extortionware. Geralmente obtendo acesso por meio de credenciais RDP comprometidas, o grupo utiliza ferramentas de código aberto e scripts de linha de comando para coletar credenciais e identificar dados, e, em seguida, exfiltra os dados por meio de serviços de compartilhamento de arquivos como FTP, Rclone ou Mega.

9) 8Base – Tendo surgido inicialmente em 2022 sob a aparência de testadores de penetração, o 8Base agora opera esquemas de dupla extorsão contra pequenas e médias empresas nos EUA, no Brasil e no Reino Unido. Seu malware desativa componentes do Windows Defender, exclui cópias de sombra, limpa registros de eventos e modifica entradas do Registro para contornar o Controle de Acesso do Usuário e garantir a persistência.

10) Ransomware INC – Desde julho de 2023, essa operação obtém acesso por meio de e-mails de spear-phishing ou explorando serviços vulneráveis e, em seguida, utiliza uma combinação de ferramentas comerciais e binários “living-off-the-land” (LOLBINs) para reconhecimento e movimentação lateral. O grupo oferece, de forma cínica, o “serviço” de revelar seus métodos para tornar o ambiente da vítima mais seguro após o pagamento.

11) Qilin – Originalmente operando seu RaaS sob o nome de Agenda, o Qilin utiliza uma estratégia de dupla extorsão com pedidos de resgate que variam de US$ 50.000 a US$ 800.000. Malware avançado, escrito tanto em Golang quanto em Rust, obtém acesso inicial por meio de e-mails de phishing e redes VPN sem autenticação multifatorial. Recursos personalizáveis, como a alteração de extensões de arquivos e o encerramento de processos específicos, tornam o serviço altamente adaptável.

12) Grupo Vanir – Desde sua estreia, em julho de 2024, o grupo de RaaS Vanir Group desenvolveu vínculos com ex-membros de outros grupos notáveis de ransomware, o que lhe permitiu crescer rapidamente em termos de sofisticação. O grupo é conhecido tanto por uma aparência de profissionalismo quanto por táticas altamente agressivas, como o envio de mensagens intimidadoras a CEOs para dar um tom de urgência às exigências de dupla extorsão.

Tanto os tipos de ransomware quanto as táticas dos grupos criminosos que os utilizam estão em constante evolução. Não há como garantir proteção total contra uma violação, mas, ao manter um foco constante na proteção de dados, no Backup and Recovery, bem como nas capacidades de resiliência cibernética, é possível mitigar o risco que essas ameaças representam. Fique atento, esteja preparado e você poderá ajudargarantir a continuidade dos negócios, independentemente do que acontecer.