Kaspersky ofertas
Kaspersky ofertas

Ransomware: definição, funcionamento e defesa (2026)

por Redação Noli

Publicado em 10 de agosto de 2026

Este artigo oferece uma visão abrangente sobre ransomware: sua definição, categorias (encryptors, lockers, extorsão dupla, RaaS), ciclo de vida de ataque (acesso inicial, elevação de privilégio, movimentação lateral, carga útil, criptografia e exfiltração), vetores comuns (phishing, RDP, vulnerabilidades, supply chain, malvertising), mecanismos técnicos (algoritmos de criptografia, gestão de chaves, criptografia híbrida, seleção de arquivos, mecanismos anti-análise e persistência), indicadores de detecção (IOCs, comportamento, tráfego de rede), resposta a incidentes (contenção, erradicação, recuperação, aspectos legais/forenses), estratégias de backup (offline/imutáveis, testes), prevenção (patching, MFA, EDR, segmentação, princípio do privilégio mínimo, threat hunting) e aspectos de regulamentação e seguros.

O que é ransomware? Taxonomia e categorias

Ransomware é um malware que criptografa arquivos ou bloqueia sistemas, exigindo pagamento (resgate) para restaurar o acesso. Em geral, os ransomwares modernos evoluíram para incluir extorsão dupla (exfiltração de dados antes de criptografar, ameaçando vazamento) e Ransomware as a Service (RaaS), onde desenvolvedores alugam o malware a afiliados.

Existem várias categorias:

  • Encryptors: criptografam arquivos e pedem resgate pela chave; por exemplo, WannaCry e Ryuk.
  • Lockers: bloqueiam o acesso ao sistema (tela de bloqueio) sem necessariamente criptografar arquivos.
  • Double/extortion: vazam dados roubados se a vítima não pagar (ex: REvil, Conti, LockBit).
  • RaaS: modelo que promove afiliação; desenvolvedores fornecem kits de ransomware e infraestrutura, e afiliados executam as campanhas (ex: DarkSide, BlackMatter).
  • Outros vetores: celulares e IoT também podem ser alvos.

Escritório corporativo mostrando tela de bloqueio de ransomware, servidor criptografado, analista de segurança monitorando alertas e ícones de criptografia e segurança

Ciclo de vida de um ataque de ransomware

flowchart LR
    A[1. Acesso Inicial] --> B[2. Elevação de Privilégio]
    B --> C[3. Movimentação Lateral]
    C --> D[4. Implantação da Carga]
    D --> E[5. Criptografia de Dados]
    E --> F[6. Exfiltração de Dados]
    F --> G[7. Demanda de Resgate]

Figura: Ciclo de vida de infecção por ransomware

Categoria Descrição Exemplos
Encryptor Criptografa arquivos, demanda chave para decifrar WannaCry, Cerber
Locker Bloqueia sistema/desktop, exige desbloqueio Android defacement
Extorsão dupla Criptografa + vaza dados confidenciais Conti, REvil, LockBit
RaaS Malware fornecido por afiliados pago por percentual DarkSide, BlackMatter
Outros Ataca dispositivos móveis ou IoT SLocker, FLocker (Android)

Vetores comuns de infecção e mitigação

Ransomwares utilizam diversos vetores de ataque. Entre os principais:

  • Phishing e spear-phishing: envio de emails fraudulentos com anexos maliciosos ou links (ex: documentos Office com macros bait). Mitigação: treinamento de usuários, filtragem de e-mails, sandbox em anexos, antivírus/EDR.
  • RDP e força bruta: invasão por senhas fracas de Remote Desktop Protocol. Mitigação: MFA no RDP, senhas fortes, bloqueio de RDP pela Internet e monitoramento de tentativas de login anômalas.
  • Vulnerabilidades de software: exploração de falhas (ex: ProxyShell, Microsoft Exchange, Log4Shell) para execução remota. Mitigação: patching rápido, segurança de endpoints e IDS/IPS atualizados.
  • Supply-chain: ataques em softwares de terceiros (ex: caso SolarWinds, incidentes via serviços de TI). Mitigação: auditoria de fornecedores, assinaturas de código, análise de cadeias de confiança.
  • Malvertising e downloads drive-by: propagação via anúncios maliciosos ou downloads de sites comprometidos. Mitigação: filtragem web, antimalware de navegador, bloqueio de anúncios maliciosos.
  • Unidades removíveis: pen drives infectados em redes corporativas isoladas. Mitigação: desabilitar auto-run, controladores de dispositivos, escaneamento de USB.
  • Credenciais comprometidas: uso de credenciais roubadas para obter acesso interno, por ex. via VPN ou serviços em nuvem.

Tabela – Vetores vs. Mitigação:

Vetor de Infecção Técnica de Ataque Medidas de Mitigação
Phishing/Spear-phish Email com anexos maliciosos / links fraudulentos Treinamento de usuários; Filtros de email; Antivírus/EDR
RDP/brute-force Ataques de força bruta em RDP MFA no RDP; bloqueio RDP via Internet; monitoramento de login
Vulnerabilidades SW Exploração de falhas críticas (ex: Exchange) Atualizações/paches rápidas; Firewall; IPS/IDS
Supply Chain Malware em software de fornecedor confiável Análise de fornecedores; monitoramento de mudanças de código
Malvertising/Drive-by Redirecionamento via anúncios; sites comprometidos Blocklists; navegadores seguros; filtragem de conteúdo
USB removível Auto-run de mídia removível infectada Bloqueio de autorun; criptografia USB; escaneamento de dispositivos
Credenciais expostas Acesso direto via senhas roubadas (ex.: VPN) MFA; credenciais fortes; monitoramento de acessos raros

Mecanismos técnicos

  • Algoritmos de criptografia: Ransomwares geralmente usam criptografia híbrida: chave simétrica (ex: AES-256) para dados, e chave assimétrica (RSA-2048 ou RSA-4096) para criptografar a chave simétrica. Só a chave privada dos criminosos (armazenada fora do alcance) pode reverter a cifragem.

  • Gestão de chaves: A chave de decriptação (privada) fica no servidor do invasor. O ransomware pode gerar chave aleatória offline ou requisitar remotamente. Em extorsões duplas, muitas vezes chaves intermediárias e exfiltração ocorrem via Tor/I2P com proxies.

  • Seleção de arquivos: Perfis definem extensões, tamanhos e pastas-alvo (excluem OS e antimalware). Ferramentas evoluíram para identificar e criptografar arquivos de alto valor (documentos, bancos de dados).

  • Anti-análise: Um ransomware comum verifica ambientes virtuais, presença de depuradores, idioma do sistema e disques de desenvolvedor para evitar sandboxes. Utilizam ofuscação e injeção em processos confiáveis.

  • Persistência: Instala serviços ou tarefas agendadas para reiniciar após reboot. Algumas famílias incluem garantias de reinstalar o payload.

  • Comunicação C2: Normalmente via Tor para o painel de pagamento; às vezes utilizam Gmail/Trello/Anonfiles para esconder instruções.

Detecção de ransomware: sinais e indicadores

Indicadores de compromisso (IOCs) incluem hashes de arquivos, domínios ou IPs dos servidores de comando, padrões de nomes de arquivos de resgate e demandas, além de comportamentos detectáveis:

  • Comportamentos anômalos de arquivos: grande volume de exclusão/criação de arquivos (encryption), aumento repentino de I/O no disco. Ferramentas EDR podem detectar operações de encriptação em massa e bloquear pela heurística.

  • Comunicação de rede: conexões não usuais ao Tor ou a endereços maliciosos conhecidos. Ransomware com exfiltração usa canais criptografados (SSH, FTP, etc.) para roubar dados.

  • Registros e processos: presença de executáveis conhecidos (por exemplo, ransom.exe) e tarefas/serviços criados no sistema. O rastreamento do Windows Event Log pode revelar atividade de criptografia.

  • Ferramentas ofuscadoras: execução de AutoIt, PowerShell ofuscado ou compilado (py2exe) indica possíveis scripts maliciosos.

  • Indicadores em endpoints: chaves de registro, mutex, strings e driver assinados de ransomware. Existem conjuntos públicos de IOCs de ransomwares famosos.

Empresas de segurança atualizam regularmente feeds com IOCs de novos ransomwares (ex: CERT-Br, US-CERT, ENISA, vendors). Um conjunto de padrões comportamentais ajuda na detecção comportamental de variantes novas.

Resposta a incidentes de ransomware

Ao detectar um ransomware, a resposta deve ser rápida e coordenada. Checklist de IR:

  1. Contenção imediata:

    • Desconectar sistemas afetados da rede (fisicamente ou via switch) para impedir propagação.
    • Isolar contas de administrador comprometidas.
    • Fornecer acessos limitados ao pessoal essencial (privilégio mínimo).

  2. Avaliação e erradicação:

    • Identificar o malware: coletar amostras, logs, IOCs.
    • Notificar times de segurança, a gerência e, se aplicável, autoridades/reguladores (ex: ANPD no Brasil, CISA/Agências).
    • Aplicar patches para vulnerabilidades exploradas.
    • Remover malware de todos os hosts (limpeza de discos, restauração de estado limpo).

  3. Recuperação de dados:

    • Restaurar arquivos de backups verificados (offline/imunes a corrupção).
    • Trocar credenciais de usuários e certificados possivelmente comprometidos.
    • Continuar monitoramento intenso (ativar EDR/IDS no período pós-incidente).

  4. Forense e legal:

    • Coletar evidências: snapshots de disco, logs de rede (consentimento legal, cadeia de custódia).
    • Contratar perícia (certificação CISA, NIST, Europol recomendam).
    • Considerar obrigatoriedade de notificação de vazamento de dados conforme lei (LGPD, GDPR, HIPAA, etc.).

  5. Comunicação:

    • Informar stakeholders: equipe técnica, executivos, clientes (transparência e orientações), e possivelmente imprensa (gestão de reputação).

  6. Negociação (se ocorrer):

    • Evitar decisões impulsivas. Contatar especialistas legais e cibersegurança.
    • NÃO pagar até tentar esgotar opções de recuperação, pois sem garantias; casos de não entrega da chave são comuns.
    • Se optar por pagar (decisão extrema), usar intermediários e carteiras seguras para rastrear e evitar sanções (ex: OFAC).

  7. Lições aprendidas:

    • Revisar o incidente: vetor, falhas evitáveis, tempo de resposta.
    • Atualizar políticas de segurança e treinamentos com base no que foi aprendido.

Tabela – Checklist de Incidente vs. Responsabilidades:

Etapa Atividades Principais Responsáveis
Contenção - Isolar sistemas comprometidos
- Desligar acesso RDP e VPN afetados		 Equipe TI/SI; Gerência de TI
Comunicação - Reportar logo a gerência/senior e jurídico
- Notificar clientes/reguladores		 CISO/Gestor; Assessor de mídia, Jurídico
Erradicação - Remover malware do ambiente
- Patches de segurança
- Reset credenciais		 Equipe de Segurança/Infraestrutura
Recuperação - Restaurar arquivos de backups (testados)
- Verificar integridade dos sistemas		 Equipe de TI (backup admin), Operações
Forense/legal - Coletar evidências, logs
- Consultar equipe jurídica para obrigações legais		 Perito forense, Jurídico, Conformidade
Prevenção futura - Atualizar planos de resposta
- Auditoria de segurança pós-incidente		 Segurança TI, Alta administração

Estratégias de backup e recuperação

  • Backups offline e imutáveis: Manter cópias offline/imutáveis (WORM) para evitar criptografia acidental pelo ransomware. Soluções de NAS/cloud com lockers de WORM (ex: S3 Glacier, Datto, Rubrik) são recomendadas.

  • Diversificação: 3-2-1 backup (3 cópias, 2 mídias diferentes, 1 off-site). Incluir backups diferentes (completo, incremental, snapshot).

  • Testes periódicos: Executar testes de recuperação regulares para garantir que backups não estão corrompidos. Em incidentes reais, muitas empresas descobrem falhas ao tentar restaurar.

  • Criptografia de backups: Armazenar backups criptografados, para proteger também contra roubo de dados.

  • Aplicar resiliência: Backup de backups críticos (plano de desastre). Planos de recuperação e comunicação clara de responsabilidades.

  • Backup do AD/servidores de certificação: Ransomwares como Conti/LockBit alvo frequentemente o Active Directory e infra de PKI. Incluir UEFI/firmware, VMs: usar redundância geográfica.

Prevenção e hardening

As medidas preventivas incluem:

  • Patch Management: Atualizações automatizadas para sistemas operacionais, apps (especial atenção a SMB, RDP, e softwares de terceiros). Aproveitar programas de recompensa e serviços de threat intelligence para antecipar explorações conhecidas.

  • MFA e controle de acesso: Habilitar autenticação multifator em todos os acessos remotos e administrativos (RDP, VPN, contas privilegiadas). Adotar o princípio de privilégio mínimo para todas as contas.

  • EDR/Antivírus comportamental: Ferramentas de detecção e resposta nos endpoints capazes de bloquear comportamentos suspeitos (criação de muitos processos de criptografia, WMI injeções, desligamento de antivírus próprio).

  • Segmentação de Rede: Implementar segmentação/trenches de rede robusta para conter movimentação lateral (por exemplo, separar DMZ, uso de VLANs para setores críticos, firewall interno). Isso minimiza o impacto caso um segmento seja comprometido.

flowchart TB
    subgraph Internet
        A[Internet Router] -->|Região pública| B(Firewall Perimeter)
    end
    B --> subgraph DMZ
        C[Servidor Web] & D[Servidor de Email] 
    end
    B --> subgraph Intranet
        E[Serviço Gerência] & F[Serviço Finanças] 
    end
    C & D --> E & F
    subgraph Backend 
        G[Servidor AD] & H[Servidor de DB]
    end
    E & F --> G & H
    classDef secure fill:#f9f,stroke:#333,stroke-width:2px;
    class G,H secure

Figura: Exemplo de segmentação de rede (firewalls internos, separação de DMZ e rede corporativa)

  • Mínimo de serviços: Desativar serviços desnecessários, como SMBv1 ou RDP externo não usado.

  • Monitoramento contínuo e Threat Hunting: Análise de logs de rede, eventos de segurança e inteligência sobre novas TTPs. Participar de ISACs e conferências (ex: CISA, Europol, CSIS).

  • Simulações e treinamentos: Realizar table-top exercises e simulações de phishing para equipes. Preparação prévia encurta tempo de resposta e reduz erro humano.

Aspectos legais, regulatórios e seguros

  • Notificação de incidentes: Em muitos países, ataques envolvendo roubo de dados exigem notificação às autoridades (LGPD exige comunicar ANPD em breaches; GDPR notifica Data Protection Authority em até 72h). Hospitais ou infraestruturas críticas podem ter obrigações extras.

  • Colaboração policial: Denúncias ao CSIRT local, polícia federal ou INTERPOL recomendadas; alguns governos (ex: EUA, Reino Unido) criaram linhas de apoio específicas de ransomware.

  • Seguro contra ransomware: Cresceu a oferta de seguros cibernéticos, mas exige medidas de segurança mínimas para cobertura. Apólices variam: negociação, custos de recuperação, perdas de receita.

  • Proibições de pagamento: Alguns países e CISA/OFAC nos EUA desencorajam ou proíbem pagamentos que violam sanções. Risco de apoiar crimes transnacionais com pagamentos em criptomoeda.

  • Compliance e GDPR/PCI: Ransomware que resulta em vazamento de dados pessoais pode infringir normas (GDPR, LGPD, PCI-DSS), levando a multas milionárias além do custo do resgate.

Economia do ransomware

  • RaaS Marketplaces: Foruns fechados (baseados em convidar afiliados). Exemplo: ALPHV/BlackCat, LockBit pagam 70% ao afiliado.

  • Pagamentos: Tradicionalmente, resgates são pedidos em Bitcoin ou Monero (privacidade). Carteiras de crypto podem ser rastreadas por analistas.

  • Negociação: Atacar a parte humana do negócio - negociadores profissionais podem reduzir paga; risco: pagamentos em boas mãos não garantem recuperação de dados completos.

  • Custos indiretos: Paralisação de negócios (ex: Colonial Pipeline forçou racionamento de gasolina). Empresas gastam muito tempo vs. dinheiro para recuperar e reforçar defesas após o ataque.

  • Empresas de Cripto: Exchanges e serviços de custódia colaboram com investigações (ex: apreensão de carteiras de ransomware pela FBI ou Europol).

Estatísticas e tendências globais

  • Impacto global: Estima-se que até 2025, o custo global com ransomware ultrapasse US$ 57 bilhões (cerca de US$ 156 milhões por dia). O número de ataques reportados aumentou cerca de 105% entre 2021 e 2024.

  • Setores alvos: Saúde, setor público/educação e manufatura costumam ser mais visados, devido a dados sensíveis e altas perdas por paralisação.

  • Dwell time: Em 2024, a mediana entre infiltração inicial e detecção era de ~21 dias (Mandiant 2024) – tempo suficiente para reconectar backdoors e exfiltrar dados.

  • Ransom médio: As demandas têm crescido; em 2025, ataques de alto perfil pediram multimilhões. Para empresas médias, ransomwares comuns pediam dezenas a centenas de milhares de dólares.

  • Ransomware-as-Service: Em 2025, mais de 90% dos ataques bem-sucedidos envolveram kits RaaS.

  • Principais famílias (2025): LockBit (~35% de ataques), Black Basta, BlackCat (ALPHV)~20%, REvil, Hive, Play, Conti remanescentes.

Estudos de caso notáveis

  • WannaCry (Maio/2017): Explorou SMBv1 (vuln. EternalBlue). Infectou 200K+ máquinas em 150 países (hospitais do NHS no Reino Unido foram prejudicados).

  • Colonial Pipeline (Maio/2021): Ransomware DarkSide explodiu nos EUA; serviço de combustível foi interrompido, gerando crise; empresa pagou US$4,4M.

  • Kaseya (Julho/2021): Ransomware REvil via supply-chain; atingiu centenas de provedores de serviço gerenciados (MSPs) e milhares de clientes.

  • LockBit: Em 2023, extorsionou grandes grupos de empresas. Tornou-se o mais prolífico até 2025.

  • Casos LATAM: Iridium Informática (2021, Brasil); ONGs e prefeituras (e.g., Prefeitura de Quedas do Iguaçu 2023).

Perguntas frequentes

Como o ransomware entra no sistema?

Normalmente por phishing, exploração de vulnerabilidades (ex. servidores expostos) ou credenciais comprometidas. Emails maliciosos com anexos infectados são um vetor comum.

O pagamento garante recuperação dos dados?

Infelizmente, não há garantia. Criminosos podem não fornecer a chave, e empresas criminosas podem desaparecer. As autoridades geralmente desaconselham pagar.

O que fazer se infectado?

Isole imediatamente os sistemas, notifique incident response, foque em restauração de backups confiáveis e notifique autoridades se necessário.

Como prevenir?

Mantenha sistemas atualizados, use MFA, faça backups offline regulares, e tenha EDR ativo para detectar comportamentos suspeitos. Treine funcionários para não clicar em links desconhecidos.

Ransomware é crime internacional?

Sim, organizações como FBI, Europol e INTERPOL cooperam. O pagamento pode violar sanções internacionais (OFAC dos EUA).

Como recuperar sem backups?

Sem backups, restauração total é quase impossível. Às vezes, profissionais reconstroem arquivos menores. Consultar especialistas de crimes cibernéticos é essencial.

Existe seguro contra ransomware?

Sim. Muitas empresas compram ciber-seguros que cobrem custos de resposta e resgate, mas exigem conformidade de segurança e podem vetar pagamento se redundante a leis.

Fontes principais

  • Kaspersky - State of Ransomware 2025 (relatório oficial).
  • CrowdStrike 2025 Ransomware Report (survey e análise de tendências).
  • NIST/CISA - Publicações em resposta a ransomware (dicas de IR).
  • Relatórios CERT e Europol 2022-2026 (dados consolidados).
  • Análises de laboratório: AV-TEST, AV-Comparatives (estatísticas e testes).
Kaspersky ofertas