Uma nova pesquisa que examina a infraestrutura técnica por trás de várias operações importantes de ransomware, incluindo INC Ransom, Lynx, MedusaLocker e atividades relacionadas ao LockBit, descobriu que, apesar de operarem sob diferentes nomes de marca, esses grupos dependem de padrões de ataque impressionantemente semelhantes. Essa consistência importa para qualquer pessoa que tente entender o ransomware, porque significa que as ferramentas e táticas que os defensores usam para capturar um grupo frequentemente funcionam contra vários outros ao mesmo tempo.

Infraestrutura Compartilhada Por Trás de Diferentes Marcas de Ransomware

O ransomware costuma ser abordado como se cada grupo nomeado fosse um empreendimento criminoso completamente separado, com seu próprio manual único. A realidade revelada por esta pesquisa é mais confusa e, de certa forma, mais útil para a defesa. Ao rastrear a infraestrutura, ou seja, os servidores, canais de comando e controle e sistemas de preparação, usada em ataques ligados ao INC Ransom, Lynx, MedusaLocker e LockBit, os pesquisadores encontraram impressões digitais técnicas recorrentes em campanhas supostamente não relacionadas.

Essa sobreposição reflete uma tendência mais ampla já visível em outros pontos do ecossistema de ransomware. Como abordado na reportagem sobre como grupos de ransomware atingem recorde de 93 equipes ativas, o submundo criminoso se fragmentou em um grande número de operações nomeadas, mesmo enquanto técnicas centrais, e em alguns casos a própria infraestrutura, são reutilizadas ou compartilhadas. Afiliados de ransomware-como-serviço frequentemente migram entre marcas, e kits de ferramentas vazados ou revendidos significam que diferentes "grupos" podem acabar se parecendo muito por baixo do capô.

Roubar Primeiro, Criptografar Depois: O Padrão da Dupla Extorsão

Um dos padrões mais claros que emergiram da pesquisa é o timing. Antes mesmo de bloquear os sistemas de uma vítima, a maioria das operações de ransomware estudadas exfiltra silenciosamente dados sensíveis primeiro. A criptografia, a parte do ataque que é notada porque os sistemas de repente param de funcionar, costuma ser o passo final, e não o primeiro.

Essa sequência é a espinha dorsal da dupla extorsão: os atacantes roubam dados silenciosamente, depois criptografam arquivos e, em seguida, ameaçam vazar publicamente os dados roubados se o resgate não for pago. Isso dá às vítimas dois motivos separados para pagar e dá aos atacantes poder de barganha mesmo que uma empresa consiga restaurar seus sistemas a partir de backups sem pagar por uma chave de descriptografia. Essa tática se tornou tão padrão que sua ausência agora seria a exceção, e não a regra, e está alinhada com descobertas separadas sobre como as táticas de extorsão estão mudando à medida que os pagamentos de resgate atingem mínimas históricas, empurrando os grupos para táticas de pressão mais duras quando as vítimas se recusam a pagar.

Por Que a Detecção Precoce é Agora a Melhor Defesa

Como o roubo de dados normalmente acontece bem antes da criptografia, muitas vezes há uma janela, às vezes de dias ou semanas, em que um comprometimento está em andamento, mas ainda não se transformou em uma crise total. Os padrões de infraestrutura identificados nesta pesquisa dão aos defensores uma maneira de identificar essa janela: comportamento recorrente de comando e controle, técnicas de preparação e assinaturas de rede que aparecem em atividades ligadas ao INC Ransom, Lynx, MedusaLocker e LockBit.

Isso importa porque a invasão inicial é cada vez mais o elo mais fraco explorado pelos atacantes. Uma pesquisa separada abordada neste site descobriu que 79% dos incidentes de ransomware começam com credenciais roubadas, em vez de exploits sofisticados. Combine isso com uma infraestrutura que se comporta de forma previsível quando os atacantes já estão dentro, e um quadro mais claro se forma: a maioria dos ataques de ransomware não são golpes magistrais de dia zero impossíveis de deter. Eles dependem de acesso roubado e ferramentas reutilizadas, ambos os quais deixam vestígios detectáveis se as organizações souberem o que procurar.

O Que Isso Significa Para Você

Para usuários comuns, esta pesquisa é um lembrete de que o ransomware raramente chega do nada. Geralmente segue uma senha roubada, um e-mail de phishing ou um ponto de acesso remoto exposto, e normalmente rouba dados muito antes de qualquer coisa ser bloqueada ou de aparecer uma nota de resgate. Para empresas e equipes de TI, a conclusão é mais direta: monitorar os padrões de infraestrutura compartilhados entre as principais famílias de ransomware pode capturar uma intrusão durante a fase de roubo de dados, antes que a criptografia aconteça.

Para indivíduos, a defesa prática é a mesma de sempre: senhas exclusivas, autenticação multifator e cautela com prompts de login inesperados ou solicitações de credenciais. Grupos de ransomware dependem de acesso roubado para entrar pela porta, então fechar esse ponto de acesso remove grande parte de sua vantagem antes que as táticas de infraestrutura mais avançadas entrem em cena.

Principais Conclusões

  • Grupos de ransomware com nomes diferentes frequentemente compartilham infraestrutura e táticas subjacentes, o que significa que ferramentas de detecção criadas para um grupo frequentemente se aplicam a outros.
  • O roubo de dados normalmente acontece antes da criptografia, criando uma janela de detecção na qual os defensores podem agir.
  • Credenciais roubadas continuam sendo um dos principais pontos de entrada, tornando a higiene de senhas e a autenticação multifator algumas das defesas mais eficazes disponíveis.
  • As organizações devem priorizar o monitoramento de sinais precoces de intrusão, e não apenas do estágio final e mais visível do ransomware.

Entender como a infraestrutura de ransomware realmente funciona, em vez de tratar cada ataque como um evento isolado, oferece tanto a indivíduos quanto a organizações um caminho mais claro para capturar ameaças antes que elas se intensifiquem. Manter-se informado sobre esses padrões compartilhados é uma das maneiras mais simples de ficar um passo à frente.