Publicado em 18 de junho de 2025
Por Sagie Dulce – VP de Pesquisa
Os ataques de ransomware mais que dobraram em 2025, tornando-se a principal ameaça para 92% dos setores da indústria. O número de gangues ativas de ransomware também disparou: atualmente são 65 grupos operando, e os mais ativos aumentaram o número de vítimas em mais de 200% em relação ao ano anterior.
Diante dessa ameaça crescente, entender e combater o ransomware nunca foi tão essencial. Este artigo oferece uma visão geral sobre o que é ransomware, como ele se tornou tão prevalente e como preveni-lo.
Ransomware na Cibersegurança
Ransomware é um tipo de código malicioso que criptografa arquivos ou sistemas, tornando-os inacessíveis até que um resgate seja pago. Os criminosos geralmente exigem pagamento em criptomoedas, dificultando o rastreamento.
O modelo de dupla extorsão torna o ransomware ainda mais perigoso: além de criptografar os dados, muitos tipos também os exfiltram, ameaçando divulgá-los ou vendê-los caso o resgate não seja pago.
Ransomware vs. Ataque de Ransomware
Embora os termos sejam frequentemente usados como sinônimos, há uma diferença:
- Ransomware é o software malicioso em si.
- Ataque de ransomware é a campanha coordenada que visa infiltrar-se em uma rede, implantar o ransomware e extorquir a vítima.
História do Ransomware: Como as Criptomoedas Alimentaram seu Crescimento
Hoje, mais de três quartos dos líderes de segurança cibernética dizem que o ransomware é sua maior preocupação e com razão. Em 2024, ataques de ransomware estiveram presentes em 75% das intrusões em sistemas, e em 44% de todas as violações.
O ransomware surgiu no fim dos anos 1980, mas foi com o avanço do cripto-ransomware, nos anos 2010, que ele se tornou uma epidemia global.
Anteriormente, monetizar uma violação era complicado, mas as criptomoedas deram aos criminosos uma maneira rápida e anônima de receber pagamentos.
O primeiro ataque moderno foi o CryptoLocker, que arrecadou mais de US$ 27 milhões em Bitcoin entre 2013 e 2014. Em comparação, só no primeiro semestre de 2024, vítimas pagaram US$ 459,8 milhões a cibercriminosos.
Por que é Tão Difícil Parar o Ransomware?
O alto lucro do ransomware permite que grupos criminosos contratem especialistas, desenvolvam ferramentas personalizadas (mais difíceis de detectar) e pesquisem técnicas avançadas, como o Hypervisor Jackpotting e evasão de EDRs.
Esses grupos operam com recursos antes restritos a nações, exigindo que as vítimas tenham defesas no mesmo nível. Os ataques costumam ser sofisticados e exploram funções legítimas da rede, dificultando a detecção precoce.
Como Funciona um Ataque de Ransomware?
Apesar das variações, a maioria dos ataques segue um fluxo comum:
Etapas de um Ataque de Ransomware
- Reconhecimento: O invasor estuda a rede, identifica ativos valiosos e vulnerabilidades.
- Infecção: Ganha acesso inicial por phishing, kits de exploração ou credenciais comprometidas.
- Escalonamento: Move-se lateralmente e eleva privilégios até alcançar sistemas críticos.
- Varredura: O malware enumera arquivos e sistemas para identificar alvos.
- Criptografia: Os arquivos são criptografados; backups e cópias sombra geralmente são apagados.
- Resgate: Os criminosos exigem pagamento e ameaçam expor os dados caso a vítima não pague.
Tipos de Ransomware
- Criptografador: O mais comum, criptografa arquivos e exige resgate pela chave de decriptação.
- Scareware: Exibe alertas falsos para assustar e induzir o pagamento.
- Bloqueador de Tela: Impede o acesso ao sistema até o pagamento do resgate.
- Extorsão por DDoS: Ameaça ou executa ataques DDoS até que o pagamento seja feito.
- Ransomware como Serviço (RaaS): Modelo de negócios onde kits de ransomware são vendidos ou alugados.
Como Prevenir Ataques de Ransomware
Como já estabelecemos, os ataques de ransomware não são algo simples, eles são sofisticados, complexos e cuidadosamente orquestrados. Isso significa que é necessário configurar uma proteção robusta contra qualquer forma de ataque, aceitando que violações irão ocorrer.
As melhores estratégias de prevenção tratam o ransomware como uma inevitabilidade – e então retiram seu poder de se espalhar. Uma defesa abrangente contra ransomware deve incluir controles de segurança proativos e medidas para agilizar a recuperação.
Controles de Segurança Proativos
Como os ataques de ransomware frequentemente escapam da detecção, controles preventivos oferecem a melhor forma de proteção:
- Microsegmentação: ataques de ransomware precisam de acesso à rede para se propagar. Desde os estágios iniciais, quando realizam varreduras na rede interna, até os momentos finais, nos quais exploram serviços vulneráveis expostos ou utilizam credenciais comprometidas para se espalhar. Uma rede segmentada isola os atacantes, deixando-os sem alternativas de movimentação lateral.
- MFA: credenciais são algumas das “armas” mais utilizadas por atacantes, que frequentemente as encontram fáceis de roubar ou quebrar. Ao proteger acessos privilegiados com autenticação multifator (MFA), os defensores podem limitar significativamente a exposição ao risco.
- Desativação de portas e serviços desnecessários: desabilitar protocolos de acesso remoto não utilizados (como RDP e SMB) e impor controles de acesso rigorosos limita os caminhos de ataque e reduz a superfície de ataque do ransomware.
- Defesas perimetrais robustas: soluções como firewalls de próxima geração (NGFW) e controles de acesso granulares minimizam ameaças ao fortalecer a proteção do tráfego Norte-Sul.
Medidas para Agilizar a Recuperação
Embora prevenir completamente o ransomware seja o ideal, estar preparado para a recuperação é igualmente essencial. As melhores práticas para agilizar a recuperação incluem:
- Sistemas de backup: manter backups regulares e criptografados em um ambiente isolado e desconectado da rede principal simplifica a recuperação caso dados críticos sejam criptografados por ransomware.
- Monitoramento e resposta contínuos: monitore e responda a qualquer atividade suspeita na sua rede para detectar ameaças emergentes desde o início. Observação: sistemas de detecção e resposta em endpoints (EDR) sozinhos não bloqueiam movimentações laterais nem protegem contra ransomware.
Boas práticas para recuperação e remoção de ransomware
Uma vez que o ransomware é distribuído, a remoção e a recuperação tornam-se críticas. A velocidade é importante — mas a cautela também. Agir rápido demais, sem uma estratégia clara, pode resultar em reinfecção ou comprometer os esforços de recuperação.
Veja o que priorizar:
Isolar sistemas afetados
O primeiro passo para conter o ransomware é cortar o alcance da infecção. Desconecte os sistemas comprometidos da rede para evitar que o malware escaneie, criptografe ou se mova para outros ativos.
Se a segmentação da rede já estiver implementada, será possível isolar as zonas infectadas de forma mais cirúrgica, reduzindo o impacto na organização como um todo.
Reinstalar um sistema operacional “limpo”
Mesmo que os arquivos sejam descriptografados ou restaurados a partir de um backup, não é possível confiar em um sistema comprometido. A abordagem mais segura costuma ser a mesma de uma das melhores práticas de recuperação de um host: reinstalar um sistema operacional limpo.
Não presuma que remover o software de ransomware elimina a ameaça. Muitas variantes deixam backdoors ou cargas secundárias projetadas para manter a persistência.
Regenerar credenciais
Dados não são a única coisa que precisa ser “recuperada” após a implantação de ransomware — todas as credenciais, segredos, chaves de API e chaves privadas podem ter sido comprometidas. Portanto, devem ser regeneradas para garantir que o ataque não volte a ocorrer.
Bloqueie ransomware instantaneamente com a Zero Networks
Velocidade, furtividade e sofisticação são as maiores armas do ransomware. Como ele se espalha rapidamente (e muitas vezes sem ser detectado) assim que entra na rede, as soluções de segurança tradicionais simplesmente não conseguem acompanhar os ataques. É por isso que a Zero Networks desenvolveu uma solução que torna impossível o movimento lateral.
Ao combinar microsegmentação com controles de acesso granulares baseados em identidade, a Zero Networks interrompe os ataques de ransomware antes que eles se espalhem, garantindo que os invasores nunca escalem privilégios ou alcancem sistemas críticos. Mesmo que credenciais sejam comprometidas, a autenticação multifator (MFA) em nível de rede e sob demanda da Zero impede que essas credenciais sejam utilizadas.
Em outras palavras, se o ransomware ultrapassar o perímetro, ele fica preso, impedido de avançar além do ponto de entrada inicial.Agenda uma demo em contato@cybergate.solutions e descubra por que a melhor proteção contra ransomware não é reativa, ela já vem incorporada.
