Malware trocou destruição por permanência. O Red Report 2026, sexta edição anual do Picus Labs, analisou 1,1 milhão de arquivos únicos e 15,5 milhões de ações maliciosas coletadas entre janeiro e dezembro de 2025 e chegou a um diagnóstico objetivo: oito das dez técnicas mais prevalentes de malware servem à evasão, à persistência e ao comando e controle. Para equipes defensivas, a consequência é direta. O alvo da detecção deixou de ser o momento da explosão e passou a ser o período longo em que o invasor mora na rede sem gerar alerta — e a resposta prioritária é instrumentar telemetria de processo e comportamento, não apenas varredura de arquivo.
O desenho do estudo importa para ler os números sem exagero. O Picus Labs classificou cada ação maliciosa em técnicas do MITRE ATT&CK e ranqueou as técnicas pela parcela de arquivos que as empregam. Foram mapeadas mais de 13,3 milhões de instâncias de técnicas — em média, doze por amostra — o que explica por que a detecção pontual de uma assinatura raramente encerra um caso. O estudo mede prevalência em amostras de malware, não probabilidade de vitimização por setor, mas é justamente o espelho do que a esteira defensiva precisa cobrir.
O que muda no comportamento
O próprio laboratório chama o padrão de parasita digital: habitar o sistema por meses sem detonar carga destrutiva. O dado que resume a virada é a queda da criptografia para impacto. A técnica T1486 (Data Encrypted for Impact), assinatura clássica do ransomware, recuou de 21.00% das amostras maliciosas em 2024 para 12.94% em 2025, uma queda relativa de 38%. Com backups maduros e recuperação testada, trancar dados deixou de ser o caminho de monetização mais eficiente; roubar e extorcionar em silêncio rende mais com menos ruído.
O mesmo deslocamento aparece no abuso de identidade. O relatório estima que um a cada quatro ataques envolve roubo de senhas salvas em navegadores, o que permite ao invasor autenticar como usuário válido — sem exploit novo, sem payload reconhecível, sem alerta de antivírus. É a versão corporativa do problema registrado quando logs de infostealer viraram atalho para o SSO: a credencial roubada vale mais do que o malware que a coletou.
Injeção de processo lidera
Pelo terceiro ano consecutivo, a injeção de processo segue no topo: a técnica T1055 aparece em 30.07% dos arquivos maliciosos analisados. O motivo é estrutural. Para o MITRE ATT&CK, a injeção executa código arbitrário no espaço de endereçamento de um processo vivo e separado; a execução fica mascarada sob um processo legítimo e engana defesas que confiam na reputação do binário. Para o defensor, a pergunta útil muda de “qual arquivo é mau” para “por que este processo confiável está fazendo algo atípico” — quem origina a conexão, com qual linha de comando e em que horário.
Evasão de sandbox e hibernação
A camada seguinte da residência silenciosa é saber quando não agir. A evasão de virtualização e sandbox subiu para a quarta posição do ranking: o malware testa o ambiente antes de detonar e hiberna ao identificar análise automatizada, produzindo relatórios de detonação limpos. Uma variante citada no relatório usa trigonometria — a distância euclidiana entre ângulos do mouse — para separar humano de máquina: se o cursor se move perfeito demais, a carga não executa.
O impacto operacional é imediato. Veredito limpo em sandbox não prova ausência de malware; prova apenas que a amostra decidiu não agir naquele ambiente. Contenção precisa combinar detonação com telemetria de processo, tráfego e persistência observada no host real.
Como detectar residência silenciosa
A orientação oficial converge para o mesmo diagnóstico. O CISA, em guia conjunto com NSA e FBI, afirma que muitas organizações não implementam as capacidades recomendadas de detecção de técnicas living off the land e que, por isso, a abordagem continua eficaz para invasores sem investimento em ferramentas. O documento parte de respostas a incidentes em infraestrutura crítica, inclui casos do grupo estatal chinês Volt Typhoon e lista as fraquezas de defesa de rede que dificultam separar tráfego malicioso de comportamento legítimo mesmo em posturas maduras.
Residência alonga o tempo de permanência, e tempo é o único recurso que a investigação não recupera depois. Sem telemetria retida, a pergunta “quando entrou” vira “não dá para saber”, e o escopo do incidente infla por falta de fronteira temporal.
Três capacidades respondem pela maior parte do ganho: telemetria de processo com linha de comando completa e cadeia de origem; linha de base do comportamento normal por servidor e por usuário, para que o raro fique visível; e correlação entre processo de origem, contexto de autenticação e destino do tráfego de saída. Detecção de rede entra como camada complementar — desde que calibrada para cortar ruído, no espírito do guia de ajuste do Suricata antes do alerta falso.
Prioridades P1 e P2
O recorte por prevalência sugere onde a esteira defensiva deve olhar primeiro:
| Técnica | Prevalência | Sinal que importa |
|---|---|---|
| T1055 — Injeção de processo | 30.07% das amostras | Processo confiável com comportamento atípico: conexão nova, linha de comando rara, módulo carregado sem instalação |
| T1562 — Impair Defenses | 14.18% das amostras | Controle de segurança desativado ou rebaixado fora de janela de mudança; trate como incidente, não como falha operacional |
| T1486 — Data Encrypted for Impact | 12.94% (antes 21.00%) | Criptografia em massa recuou; o volume migrou para exfiltração discreta e extorsão sem trava |
P1 — começar agora:
- Centralizar telemetria de processo nos servidores críticos, com linha de comando, hash e processo pai, e reter pelo período necessário à investigação retrospectiva.
- Documentar a linha de base de execução normal por servidor: quais processos geram quais filhos e com que frequência.
- Alertar sobre qualquer alteração em mecanismo de persistência — tarefa agendada, chave de execução automática, serviço novo — fora da janela de mudança aprovada.
P2 — neste trimestre:
- Simular as técnicas mais prevalentes contra a stack atual e medir cobertura de detecção, não só de bloqueio.
- Revisar regras de saída de dados: residência silenciosa depende de exfiltração discreta para valer.
- Variar a interação humana nas detonações automatizadas para reduzir a cegueira que a evasão de sandbox explora.
O relatório não anuncia uma ameaça inédita; mede uma mudança de ênfase que já estava em curso. Enquanto o esforço ofensivo aposta em evasão de malware e residência longa, o orçamento defensivo ganha mais retorno em visibilidade contínua do que em mais um motor de varredura.