Dois relatórios técnicos publicados em setembro de 2026 redesenham o mapa do ransomware: a Cisco Talos expôs a infraestrutura de ataque de um dos grupos mais produtivos do ano e encontrou evidências de código gerado por IA nas operações do Qilin, enquanto a Bitdefender registrou o maior número de grupos ativos em um único mês desde o início de seu acompanhamento. Organizações de qualquer porte estão no alvo, com peso crescente sobre pequenas e médias empresas. A ação prioritária é imediata: inventariar serviços expostos na internet, exigir segundo fator em todo acesso remoto e separar as credenciais de backup do caminho de administrador de domínio.
O cenário: mais grupos, mais vítimas
O estudo da Cisco Talos sobre o primeiro semestre no Japão oferece uma radiografia rara, construída a partir da investigação real de incidentes: 90 organizações japonesas foram vítimas de ransomware entre janeiro e julho, alta de aproximadamente 4.7% sobre o período equivalente do ano anterior. A média ficou em cerca de 13 incidentes por mês, com pico de 19 em abril. O dado mais incômodo é o perfil das vítimas: aproximadamente 80% tinham capitalização inferior a 1 bilhão de ienes, o que confirma que intrusões dirigidas deixaram de ser exclusividade de grandes corporações.
Por setor, a manufatura liderou com 34% dos casos, seguida por informação e comunicação (11%) e serviços (9%). No ranking de grupos no país, a operação cuja infraestrutura a Talos inspecionou liderou com 14 incidentes, seguida por Qilin e SafePay, com sete cada. Poucos grupos ativos no ano anterior reapareceram em 2026 — um turnover que invalida listas de indicadores estáticos e obriga defesa baseada em comportamento.
Em escala global, os anúncios no site de vazamentos do grupo inspecionado saltaram de 48 anúncios em janeiro para 105 em julho, crescimento de aproximadamente 2.2 vezes que acompanha a consolidação do modelo de ransomware como serviço, com afiliados recrutados e ferramentas compartilhadas.
O debrief mensal da Bitdefender fecha o quadro: mil vítimas reivindicadas em sites de vazamento somente em agosto — o segundo maior número desde 2023 — e pulverização sem precedente de operadores: 83 grupos únicos de ransomware reivindicaram vítimas em agosto, alta de 25% sobre os 66 grupos ativos em julho. Mais grupos significam mais frentes de ataque, menos padronização de táticas e maior carga para equipes que ainda caçam assinaturas de uma única família.
Anatomia da intrusão exposta
O achado central da Talos é um diretório aberto usado por um ator vinculado ao grupo, cujo histórico de comandos reconstrói a intrusão em seis fases. A sequência começa com túneis via VPN, chisel e Ligolo-ng; passa por reconhecimento com nmap, masscan e NetExec; inclui coleta de Active Directory com RustHound e BloodHound; e testa exploração de falhas conhecidas, como a injeção de SQL no GLPI (CVE-2025-24799) e vestígios do Zerologon (CVE-2020-1472). O comando e controle usou o framework open source AdaptixC2, que se comunica por HTTP/S, DNS/DoH e SMB — três canais que precisam estar no radar do time de rede.
A fase final explica por que backups continuam sendo o alvo preferencial: o atacante montou o compartilhamento de backup via CIFS, inspecionou arquivos VHDX, copiou ntds.dit, SAM e SYSTEM, extraiu credenciais com secretsdump.py e transferiu tudo comprimido com zstd para armazenamento em nuvem via rclone, em blocos de 256 MiB com uploads paralelos. É exfiltração industrial do diretório Active Directory inteiro antes de qualquer criptografia — exatamente o cenário que backups imutáveis endereçam. Vestígios de teclado em russo no histórico de comandos reforçam a hipótese de ligação com operadores do leste europeu.
Antes de encerrar cada fase, o atacante apagava credenciais coletadas, resultados de varredura e arquivos temporários. Essa higiene operacional reduz a superfície forense e reforça a necessidade de retenção centralizada de logs: o que não foi enviado ao coletor no momento do evento provavelmente não existirá na investigação.
Qilin acelera com código de IA
Na infraestrutura ligada ao Qilin, a Talos identificou com confiança média a alta scripts Python com fortes indícios de geração por modelos de linguagem: comentários didáticos que estruturam o fluxo em etapas, documentação de propósito e pré-requisitos no cabeçalho e um histórico de comandos mencionando um diretório chamado llm_chatbot. Entre os artefatos estão um script que distribui o locker por múltiplos endpoints, uma ferramenta que para e destrói backups Veeam em quatro etapas numeradas e uma função que usa GPO para espalhar um wiper por todas as máquinas Windows do domínio.
O impacto estratégico importa mais que o caso isolado: quando a codificação de ferramentas deixa de ser gargalo, afiliados de baixa qualificação técnica passam a operar com o arsenal de grupos maduros. A barreira de entrada do ransomware caiu de semanas de desenvolvimento para prompts bem escritos, e a resposta defensiva precisa assumir que a cadeia de ataque do adversário médio ficou parecida com a das operações de elite.
Sinais a monitorar antes da criptografia
A intrusão documentada deixa indicadores acionáveis, todos observáveis antes do impacto:
| Sinal | Onde procurar | Prioridade |
|---|---|---|
| Instalação de libguestfs-tools, qemu-utils ou nbd-client em servidor Linux | Logs de pacotes e histórico de shell | P1 |
| Montagem de compartilhamento de backup via CIFS fora da janela de backup | Telemetria de autenticação e file server | P1 |
| Cópia de ntds.dit, SAM e SYSTEM seguida de secretsdump.py | EDR em controladores de domínio | P1 |
| Tráfego rclone para nuvem pública com blocos grandes e uploads paralelos | Proxy, firewall e logs de egress | P1 |
| Criação ou edição de GPO por conta sem histórico administrativo | Auditoria do Active Directory | P2 |
| Processos AdaptixC2 sobre HTTP/S, DNS/DoH ou SMB | NIDS e inspeção de TLS | P2 |
Como a operação também mantém encryptors contra hipervisores ESXi, aplica-se o mesmo tratamento defendido quando o hipervisor virou alvo: interfaces de gestão do VMware não podem ficar acessíveis a usuários comuns e alarmes de snapshots em massa merecem investigação imediata.
Ações prioritárias
P1 — nesta semana: inventariar todo dispositivo e serviço acessível pela internet (VPN, área de trabalho remota, gestão de firewall); aplicar patches em serviços de borda, com atenção a GLPI e plataformas de gestão; restringir interfaces administrativas por IP de origem; exigir MFA em VPN, nuvem e contas administrativas; separar credenciais de backup do domínio e revisar quem pode montar compartilhamentos de backup.
P2 — neste mês: revisar acessos de fornecedores e terceiros, com privilégio mínimo e validade definida; estender os mesmos controles a filiais e subsidiárias; reter logs necessários à investigação posterior; e ajustar o EDR para alarmar em aquisição de privilégio administrativo, desativação de backup e modificações massivas de arquivos.
A conclusão dos dois relatórios converge: bloquear toda intrusão é inviável quando dezenenas de operadores disputam vítimas no mesmo mês. Ganha quem detecta a fase de movimentação — reconhecimento do Active Directory, montagem de backup, exfiltração com rclone — antes de o encryptor rodar.