Uma operação de ransomware recentemente identificada, que se autodenomina Moondancer, começou a recrutar ativamente afiliados criminosos com foco específico na América Latina, de acordo com monitoramento de inteligência de ameaças citado pela Brinztech. O grupo é estruturado como um sindicato de ransomware-como-serviço (RaaS), o que significa que ele constrói e mantém o software malicioso enquanto terceiriza os ataques reais para uma rede de parceiros pagos. Notavelmente, a Moondancer declarou publicamente que não terá como alvo organizações de saúde, uma jogada de branding cada vez mais comum entre operadores de ransomware que tentam projetar uma imagem de contenção, mesmo enquanto recrutam criminosos para invadir outros tipos de redes.

Embora a Moondancer ainda esteja emergindo e os detalhes permaneçam limitados, sua campanha de recrutamento segue um padrão que tem definido a evolução do ransomware há anos: em vez de um único grupo realizar todos os ataques, os operadores de RaaS agem mais como franquias criminosas, fornecendo ferramentas, infraestrutura e acordos de divisão de pagamentos para afiliados independentes que fazem a invasão na prática.

Como Funciona o Recrutamento de Ransomware-como-Serviço

Grupos de RaaS normalmente anunciam em fóruns subterrâneos ou canais exclusivos para convidados, oferecendo uma parte dos pagamentos de resgate a afiliados que conseguem violar um alvo, implantar a carga de criptografia e negociar com as vítimas. O grupo central por trás do malware, neste caso a Moondancer, fornece a espinha dorsal técnica: as ferramentas de criptografia, sites de vazamento para pressionar vítimas e, às vezes, até suporte ao cliente para os afiliados.

Essa divisão de trabalho é parte do motivo pelo qual o ransomware cresceu tão dramaticamente. Ela reduz a barreira de entrada para criminosos menos qualificados tecnicamente, enquanto permite que os desenvolvedores centrais se concentrem em melhorar suas ferramentas e evitar exposição direta durante os ataques. Relatórios recentes têm rastreado essa mesma dinâmica em todo o cenário de ameaças, incluindo o relatório de 2026 da Black Kite mostrando que o ransomware atingiu 7.551 vítimas no mundo no ano passado, uma escala só alcançável por meio desse tipo de modelo orientado por afiliados.

Por Que a América Latina Está na Mira

A decisão da Moondancer de direcionar sua campanha de recrutamento especificamente para a América Latina é consistente com tendências mais amplas de como grupos de ransomware escolhem suas regiões de expansão. Os atacantes frequentemente gravitam em direção a áreas onde as defesas de segurança cibernética ainda estão amadurecendo, onde a cooperação da aplicação da lei local em casos de crimes cibernéticos pode ser mais lenta, ou onde a familiaridade linguística e cultural dá aos afiliados uma vantagem na criação de iscas de phishing convincentes e na negociação com vítimas locais.

Esse direcionamento regional espelha padrões vistos em outros lugares. A atividade de ransomware vem aumentando globalmente, com ataques crescendo 87% ano a ano e só as empresas espanholas enfrentando uma média de 2.068 ataques por semana. Grupos que buscam novos territórios e pools de vítimas menos saturados cada vez mais olham para além da América do Norte e da Europa Ocidental, e a crescente economia digital da América Latina a torna um alvo atraente exatamente para esse tipo de expansão.

A declaração pública sobre evitar alvos de saúde também merece atenção. Grupos de ransomware enfrentaram reações significativas de reputação e da aplicação da lei após ataques a hospitais que interromperam o cuidado de pacientes no passado. Ao excluir explicitamente a área da saúde, a Moondancer parece estar tentando reduzir a intensidade da atenção internacional da aplicação da lei enquanto ainda constrói um empreendimento criminoso que pode afetar empresas, governos locais e outras organizações na região.

O Que Isso Significa Para Você

Se você administra uma empresa ou gerencia infraestrutura de TI na América Latina, esse desenvolvimento é um sinal para revisar suas defesas contra ransomware agora, em vez de depois que um incidente ocorrer. Ataques com recrutamento de afiliados tendem a aumentar rapidamente uma vez que um grupo de RaaS construiu sua rede, já que mais afiliados simplesmente significa mais tentativas de violação acontecendo em paralelo.

Para usuários individuais, o risco é menos direto, mas ainda relevante. Afiliados de ransomware frequentemente obtêm acesso inicial por meio de e-mails de phishing, credenciais de acesso remoto comprometidas ou downloads maliciosos, as mesmas técnicas usadas em outras campanhas de malware, incluindo as recentes, como o instalador falso do CCleaner que espalha spyware GhostDesk. Praticar cautela com downloads e links não solicitados continua sendo uma das defesas pessoais mais eficazes contra se tornar um ponto de entrada para uma violação organizacional maior.

Conclusões Acionáveis

Organizações na América Latina, e em qualquer outro lugar que possa eventualmente ver atividade da Moondancer, devem priorizar algumas etapas concretas. Garanta que pontos de acesso remoto, incluindo VPNs e conexões RDP, exijam autenticação multifator, já que credenciais comprometidas continuam sendo um dos vetores de entrada mais comuns para ransomware orientado por afiliados. Mantenha backups offline e testados de dados críticos, já que um plano de recuperação funcional remove grande parte da alavancagem que uma demanda de resgate depende. Treine a equipe para reconhecer tentativas de phishing e monitore atividades incomuns de contas que possam indicar que um afiliado já ganhou uma posição.

O surgimento do ransomware Moondancer é um lembrete de que o modelo de negócios RaaS continua produzindo novos participantes, cada um procurando regiões mal atendidas e novas vítimas. Manter-se informado sobre essas mudanças e agir com base na higiene básica de segurança antes que um ataque aconteça continua sendo a maneira mais confiável de evitar se tornar parte da próxima manchete.