Ransomware LockBit 3.0: 2.000 vítimas em 95 países

Uma Cepa de Ransomware que Remodelou o Panorama de Ameaças

O LockBit 3.0, também conhecido como LockBit Black, já atingiu mais de 2.000 vítimas em 95 países, de acordo com uma nova análise técnica da ProvenData que mapeia a cadeia completa de ataque do grupo contra o framework MITRE ATT&CK. O relatório inclui indicadores de comprometimento (IOCs) e um checklist de resposta a incidentes voltado a equipes de segurança e provedores de serviços gerenciados (MSPs) que precisam detectar e conter o malware antes que ele cause danos.

O que torna o LockBit 3.0 notável não é apenas a sua escala. É a maturidade operacional por trás dele. Como plataforma de ransomware-como-serviço (RaaS), o LockBit fornece aos afiliados ferramentas sofisticadas, um programa de recompensas por bugs para o próprio malware e cargas úteis de criptografia configuráveis. Essa profissionalização é um dos principais motivos pelos quais a cepa conseguiu atingir milhares de alvos em quase metade dos países da Terra, desde pequenas empresas até grandes instituições financeiras. A alegação de violação do LockBit no US Bank é um exemplo recente de como o grupo tem mirado especificamente o setor financeiro, dando às vítimas prazos apertados de resgate para pressionar pagamentos rápidos.

Como Funciona a Cadeia de Ataque

De acordo com a análise da ProvenData, o LockBit 3.0 segue um roteiro bastante consistente uma vez que os afiliados obtêm o acesso inicial, tipicamente por meio de phishing, protocolo de área de trabalho remota (RDP) exposto ou vulnerabilidades exploradas em softwares voltados à internet. A partir daí, o malware avança por reconhecimento, elevação de privilégios e movimento lateral pela rede antes de implantar a carga útil de criptografia. Mapear essas etapas no MITRE ATT&CK dá aos defensores uma linguagem comum para identificar em que ponto da cadeia de eliminação uma intrusão está ocorrendo, o que importa enormemente ao tentar interromper um ataque antes que os arquivos sejam bloqueados e os dados sejam exfiltrados.

Essa etapa de exfiltração merece uma pausa. Grupos modernos de ransomware, incluindo o LockBit, raramente apenas criptografam arquivos. Eles roubam dados sensíveis primeiro e ameaçam publicá-los em sites de vazamento se o resgate não for pago — uma tática conhecida como dupla extorsão. É aqui que as implicações de privacidade se tornam sérias: mesmo organizações com backups sólidos e sem intenção de pagar resgate podem ainda enfrentar a exposição de registros de clientes, dados de funcionários ou informações proprietárias. Essa mudança em direção ao roubo de dados como principal ponto de alavancagem faz parte de uma tendência mais ampla abordada na pesquisa da KnowBe4 sobre o ransomware mudando para o roubo de identidade, em que dados pessoais roubados cada vez mais sobrevivem à violação inicial como ferramenta para fraudes.

Por Que o LockBit Continua Voltando

A persistência do LockBit é parte do que o torna digno de monitoramento próximo. Apesar da pressão internacional das forças de ordem e dos esforços de derrubada direcionados à sua infraestrutura, o grupo e seus afiliados continuaram evoluindo. O surgimento de variantes mais recentes, detalhado em nossa cobertura do LockBit 5.0 e a vida após a Operação Cronos, mostra que interromper os servidores de uma operação RaaS não necessariamente para o modelo de negócios subjacente. Os afiliados simplesmente renomeiam, refazem as ferramentas e retomam as operações sob novas versões.

Essa resiliência espelha um padrão mais amplo no ecossistema de ransomware. Relatórios recentes da indústria, incluindo o relatório de ransomware de 2026 da Black Kite mostrando mais de 7.551 vítimas globalmente, sugerem que o ransomware não é mais dominado por um punhado de gangues que atraem manchetes. Em vez disso, é uma economia distribuída, semelhante a franquias, onde roteiros técnicos como os do LockBit são reutilizados e adaptados por diversos grupos.

O Que Isso Significa Para Você

Se você gerencia TI ou segurança em uma organização, a análise técnica do LockBit 3.0 é um lembrete de que a proteção genérica de antivírus não é suficiente. A cadeia de ataque depende da exploração de fraquezas comuns — acesso remoto exposto, software sem patches, credenciais fracas — que a maioria das organizações ainda tem dificuldade de fechar completamente. Mapear suas próprias defesas contra as etapas do MITRE ATT&CK usadas pelo LockBit pode ajudar a identificar lacunas antes que um afiliado as encontre primeiro.

Para usuários comuns e consumidores, o risco é mais indireto, mas ainda real. Se uma empresa com a qual você faz negócios for violada pelo LockBit ou por um grupo semelhante, seus dados pessoais podem acabar em um site de vazamento independentemente de a empresa pagar o resgate. Esse é um forte argumento para usar senhas únicas, habilitar autenticação multifator sempre que possível e monitorar suas contas em busca de atividades suspeitas após qualquer notificação de violação que você receber.

Conclusões Acionáveis

Organizações devem priorizar a aplicação de patches em sistemas voltados à internet, restringir a exposição do RDP e manter backups offline testados que táticas de dupla extorsão não consigam alcançar. Equipes de segurança devem incorporar os IOCs e os mapeamentos do MITRE ATT&CK de relatórios técnicos como este em regras de detecção e playbooks de caça a ameaças. Indivíduos devem tratar toda notificação de violação de dados com seriedade, trocando senhas e ficando atentos a tentativas de phishing que frequentemente seguem um vazamento. A escala do LockBit 3.0 — mais de 2.000 vítimas em 95 países — é um sinal claro de que o ransomware continua sendo uma ameaça ativa e em evolução, e manter-se informado sobre como esses ataques realmente funcionam é uma das maneiras mais simples de se manter à frente deles.