Ransomware keeps getting faster, and so does the response. Microsoft has detailed how its automated device isolation technology can stop a ransomware attack fast, cutting off a compromised machine from the rest of a network in just 128 seconds. The disclosure comes as multiple reports confirm the ransomware threat continues to climb, a reminder that speed of detection now matters as much as the strength of any single defense.

Para as equipas de segurança empresarial, 128 segundos são um marco a celebrar. Para os utilizadores comuns, sem um centro de operações de segurança a monitorizar o tráfego 24 horas por dia, levanta uma questão mais difícil: o que acontece quando não há um sistema automatizado entre si e um atacante?

O Que o Isolamento de Dispositivo em 128 Segundos da Microsoft Realmente Faz

A abordagem da Microsoft centra-se em identificar automaticamente um dispositivo com comportamento suspeito de comprometimento, como atividade invulgar de encriptação de ficheiros, e cortar o seu acesso à rede antes de o malware se propagar a outras máquinas. O valor de 128 segundos representa a janela entre a deteção e o isolamento total, um intervalo durante o qual o dispositivo infetado fica praticamente em quarentena enquanto os investigadores apuram o que aconteceu.

Este tipo de resposta automatizada só é possível porque as grandes organizações dispõem da infraestrutura para monitorizar continuamente os endpoints e atuar sobre sinais de ameaça em tempo real. É um avanço significativo para as redes empresariais, onde um único portátil infetado pode tornar-se o ponto de entrada para um incidente de encriptação em toda a empresa. Mas também sublinha o quanto a defesa moderna contra ransomware depende de ferramentas a que a maioria das pessoas simplesmente não tem acesso.

Por Que o Ransomware Age Mais Rápido do Que a Maioria dos Utilizadores Domésticos Consegue Reagir

O ransomware moderno não fica discretamente no sistema à espera de ser descoberto. Quando se ativa, a encriptação pode propagar-se por ficheiros e unidades ligadas em poucos minutos, por vezes mais depressa do que uma pessoa conseguiria perceber que algo está errado, quanto mais desligar o router ou o dispositivo. É exatamente por isso que as defesas empresariais são construídas com base na automatização e não no tempo de reação humano.

Os utilizadores domésticos e as pequenas empresas normalmente não dispõem de nenhum sistema de alerta precoce equivalente. Não há uma equipa de segurança a vigiar atividades anómalas nos ficheiros às duas da manhã, nem um interruptor de emergência automático que isole um dispositivo assim que algo pareça suspeito. Quando uma nota de resgate aparece no ecrã, a encriptação já costuma estar concluída. Esta lacuna entre a resposta automatizada de nível empresarial e o tempo de reação do consumidor é o principal desafio que enfrenta qualquer pessoa sem suporte de TI dedicado.

O Que Isto Significa Para Si: Medidas Práticas Sem Ferramentas Empresariais

Não precisa de um orçamento de segurança empresarial para criar defesas significativas contra o ransomware. O objetivo é reduzir tanto a probabilidade de infeção como os danos caso ela aconteça.

Comece pelas cópias de segurança. Cópias de segurança regulares, offline ou na cloud, que não estejam constantemente ligadas ao seu dispositivo principal, significam que mesmo um ataque de ransomware bem‑sucedido não lhe custará os ficheiros. Mantenha os sistemas operativos e o software atualizados, já que muitas infeções por ransomware exploram vulnerabilidades conhecidas que as atualizações já corrigem. Tenha cuidado com anexos e links de email e encare com suspeita pedidos não solicitados de acesso remoto ou de instalação de software, especialmente se alegarem ser do suporte de TI.

Um bom antivírus ou ferramenta de proteção dos endpoints com monitorização em tempo real pode detetar comportamentos suspeitos mesmo sem sistemas de isolamento de nível empresarial. A segmentação da rede em casa, como manter os dispositivos inteligentes numa rede separada da dos computadores que contêm ficheiros sensíveis, também pode limitar a propagação de uma infeção se um dispositivo for comprometido. Nenhuma destas medidas recria uma resposta automatizada de 128 segundos, mas, em conjunto, reduzem consideravelmente a superfície de ataque.

Como os Grupos de Ransomware Entram Antes Mesmo de o Isolamento Fazer Diferença

Nenhum sistema de isolamento, automatizado ou não, importa se os atacantes nunca desencadearem um evento detetável. Cada vez mais, os grupos de ransomware concentram-se em entrar silenciosamente e desativar as defesas antes de alguém dar conta. Uma campanha recente mostrou atacantes a fazerem-se passar por falso suporte de TI no Microsoft Teams para impulsionar uma vaga de ransomware, enganando os funcionários para concederem acesso diretamente. Outros grupos foram mais longe, utilizando técnicas como a observada no ransomware GodDamn, que abusou de um driver assinado para eliminar ferramentas antivírus, removendo por completo as proteções que normalmente acionariam uma resposta de isolamento automatizada.

Estas táticas são importantes porque visam os pressupostos incorporados nos sistemas de defesa modernos. Se um atacante conseguir desativar o software de segurança ou convencer um utilizador a ceder o acesso voluntariamente, os sistemas de deteção que tornam possível o isolamento rápido nunca chegam a ter oportunidade de atuar.

O Resumo

A capacidade de isolamento em 128 segundos da Microsoft é um excelente exemplo de como uma resposta automatizada e rápida pode parar um ataque de ransomware assim que é detetado. Mas a deteção é apenas metade da equação. À medida que os grupos de ransomware se tornam melhores na engenharia social e na desativação das ferramentas de segurança antes mesmo de a encriptação começar, a prevenção e a defesa em camadas continuam a ser tão críticas para os utilizadores comuns como a velocidade de resposta é para as grandes organizações.

Se quiser compreender como os atacantes estão realmente a ganhar espaço antes de qualquer sistema de isolamento entrar em ação, vale a pena ler como os grupos usaram pedidos de suporte falsos e técnicas de eliminação de antivírus para contornar totalmente as defesas. Manter-se informado sobre estas táticas de entrada é um dos passos mais práticos que qualquer leitor pode dar para evitar o ransomware desde o início.