Durante anos, a imagem típica do ransomware era a de arquivos criptografados e uma nota de resgate na tela. Uma nova tática descrita pelo PortalGeek muda esse roteiro: o ransomware sem criptografia living off the land bloqueia redes corporativas sem criptografar um único arquivo, apoiando-se nas próprias ferramentas da organização. O resultado continua sendo o mesmo, uma empresa paralisada, mas o caminho para chegar até lá é mais difícil de detectar.

Este artigo explica como funciona, por que é tão esquivo e o que deveriam revisar tanto as empresas quanto as pessoas que trabalham de casa.

Como funciona o ransomware sem criptografia

Segundo as informações publicadas, esta tática paralisa a operação de uma rede corporativa sem recorrer à criptografia de arquivos, que é o que muitas defesas costumam monitorar. Em vez de implantar um programa malicioso muito visível, o atacante aproveita utilitários que já existem no ambiente: ferramentas de administração como PowerShell e software de acesso remoto.

Essa abordagem é conhecida como "living off the land" (viver do terreno): o intruso usa o que já está instalado. Sem criptografar dados, pode interromper serviços, bloquear acessos ou inutilizar sistemas, e o impacto sobre a continuidade do negócio é igualmente sério. Para uma empresa, não poder operar é o problema central, tenha ou não seus arquivos criptografados.

Por que usar ferramentas legítimas dificulta sua detecção

A chave está no fato de que nada do que o atacante executa parece, à primeira vista, estranho. O PowerShell é utilizado diariamente pelos administradores de sistemas, e o software de acesso remoto é uma peça habitual do suporte técnico. Se um atacante com credenciais válidas lança essas mesmas ferramentas, sua atividade pode ser confundida com trabalho rotineiro.

Isso tem várias consequências práticas:

  • Menos sinais clássicos. Um antivírus que busca arquivos maliciosos conhecidos tem pouco a bloquear quando se usam programas legítimos.
  • O foco se desloca para as credenciais. Se o acesso é válido, a pergunta já não é "que software é este?", mas "quem está usando e de onde?".
  • Mais importância do comportamento. Detectar um uso incomum de uma ferramenta (em um horário estranho, a partir de um equipamento inesperado) passa a ser mais útil do que detectar um arquivo específico.

Não é uma ameaça que se resolva com um único produto. Requer camadas: controle de acessos, visibilidade e capacidade de recuperação.

O que significa para o teletrabalho e as redes domésticas

Uma rede corporativa não termina no escritório. Cada notebook que se conecta de casa, cada ferramenta de acesso remoto e cada senha reutilizada amplia a superfície pela qual um atacante pode entrar. Se o método depende de utilizar acessos legítimos, as credenciais de quem trabalha remotamente se tornam uma porta especialmente valiosa.

Na prática, a segurança da rede doméstica influencia a da empresa:

  • Um roteador com a senha de fábrica ou com firmware desatualizado é um ponto fraco.
  • Uma senha repetida entre serviços pessoais e corporativos facilita que um vazamento alheio acabe afetando o trabalho.
  • Um programa de acesso remoto instalado e esquecido, ou sem autenticação reforçada, oferece uma via direta para o equipamento.

O contexto geral também importa. Como registramos em nossa análise sobre o aumento de vítimas de ransomware na Espanha e o roubo de dados com IA, a ameaça continua crescendo e afeta tanto organizações quanto as pessoas que estão conectadas a elas.

Medidas práticas: MFA, privilégios mínimos, monitoramento e backups

Nenhuma dessas medidas é novidade, mas juntas reduzem muito a margem de manobra de quem tenta abusar de ferramentas legítimas.

  1. Autenticação multifator (MFA). Ative-a no e-mail, nas VPNs corporativas, na área de trabalho remota e em qualquer painel de administração. Se uma senha vazar, o MFA adiciona um obstáculo importante.
  2. Privilégios mínimos. Cada conta deveria ter apenas as permissões de que necessita. Se um usuário normal não precisa executar PowerShell com direitos elevados, melhor restringi-lo.
  3. Controle do software de acesso remoto. Mantenha um inventário de quais ferramentas estão autorizadas e elimine as que não forem usadas.
  4. Monitoramento do comportamento. Registre e revise a atividade de ferramentas administrativas, e defina alertas para usos fora do habitual.
  5. Backups isolados e testados. Guarde cópias separadas da rede principal e verifique se podem ser restauradas. Se o que é bloqueado são sistemas, não apenas arquivos, também convém ter um plano de recuperação documentado.
  6. Higiene doméstica. Troque as credenciais do roteador, atualize seu firmware, use senhas únicas com um gerenciador e mantenha o sistema operacional em dia.

Conclusão: revise sua configuração antes que um atacante o faça

O ransomware sem criptografia living off the land lembra que o perigo nem sempre chega na forma de um arquivo suspeito. Às vezes chega com uma conta válida e ferramentas que já estão no seu equipamento. Por isso a defesa passa por proteger credenciais, limitar permissões, vigiar o comportamento e garantir que você possa se recuperar.

Dedique alguns minutos esta semana para revisar sua configuração de trabalho remoto: você tem MFA ativado em suas contas principais? Trocou a senha de administração do seu roteador? Seus backups estão isolados e você os testou? Para entender melhor a dimensão do problema, você pode consultar nosso artigo sobre as tendências de ransomware na Espanha.