Evolução do ransomware: de disquetes à IA criminosa

Aventura universal » Geral » Evolução do ransomware: de disquetes à IA criminosa

El O ransomware se tornou o "negócio principal" do cibercrime.De uma curiosidade técnica na década de 80, transformou-se em uma máquina global de extorsão que movimenta bilhões e paralisa hospitais, fábricas, universidades e administrações públicas. Longe de ser uma moda passageira, é uma ameaça que se reinventa a cada avanço tecnológico, da popularização da internet ao surgimento da inteligência artificial.

Para entender por que vemos mais incidentes e taxas de resgate mais altas a cada ano, precisamos acompanhar o Uma visão histórica do ransomware: suas origens, suas mutações técnicas e seu modelo de negócios.Somente compreendendo como evoluiu — dos disquetes do "cavalo de Troia da AIDS" às plataformas de Ransomware como Serviço com inteligência artificial — é possível projetar defesas realistas, tomar melhores decisões quando um incidente ocorre e, acima de tudo, preparar a organização para evitar se tornar a próxima manchete.

Dos disquetes à criptografia assimétrica: os primeiros passos do ransomware

A história documentada dos ataques de ransomware começa em 1989 com um caso tão peculiar quanto perturbador: o O biólogo evolucionista Joseph L. Popp distribuiu 20.000 disquetes infectados. entre os participantes de uma conferência internacional sobre AIDS. Os disquetes, etiquetados como “Informações sobre AIDS – Discos Introdutórios”, incluíam um suposto questionário para avaliar o risco de contrair a doença.

Após um certo número de reinicializações do sistema, o malware — conhecido como “Trojan da AIDS” ou “Ciborgue PC”— O vírus modificou o processo de inicialização do MS-DOS e criptografou os dados da máquina, exibindo uma mensagem de resgate exigindo o pagamento de US$ 189 em uma caixa postal no Panamá. A polícia rastreou a origem do vírus e prendeu Popp, mas ele foi considerado incapaz de ser julgado, e o incidente permanece uma raridade na história dos vírus de computador.

Durante a década de 90 e o início dos anos 2000, a atenção se concentrou mais em worms massivos, ataques DDoS e vírus "clássicos"Isso se devia em parte ao fato de que o ransomware era mais fácil de rastrear por meio de pagamentos. No entanto, o avanço da criptografia e o surgimento de pagamentos digitais anônimos abriram caminho para seu retorno.

Por volta de 2005, surgiu o PGPCoder ou Gpcode, um dos primeiros ransomware distribuído em massa pela internetDisseminou-se como anexo de e-mail usando técnicas de clonagem phishing Disfarçado de candidaturas de emprego, o ataque tinha como alvo documentos e arquivos compactados (.doc, .xls, .rar, .zip, .jpg, entre outros). Suas primeiras variantes utilizavam criptografia relativamente fraca, mas evoluíram rapidamente para o uso de chaves RSA de 660 e 1024 bits, muito mais difíceis de quebrar.

Em 2006, surgiu Archiveus (também conhecido como Archievus), um cavalo de Troia que popularizou o uso da criptografia assimétrica RSA em ransomware.O malware criptografava todo o conteúdo da pasta "Meus Documentos" do usuário e deixava um arquivo chamado "como recuperar seus arquivos.txt" explicando que, para recuperar os dados, a vítima precisava fazer compras em uma farmácia online em troca de uma senha com dezenas de caracteres. Posteriormente, descobriu-se que uma única senha funcionava para todas as vítimas, o que pôs fim à operação dessa variante específica.

Obstáculos e crescimento com a adoção em massa da Internet

Com a expansão da internet no início dos anos 2000 — e-mail, redes sociais, fóruns, redes P2P — o ransomware encontrou um novo nicho. canal de propagação perfeito para atacar milhões de usuáriosDurante essa fase, os chamados "bloqueadores" se popularizaram; estes não criptografavam os arquivos, mas impediam o uso normal do sistema.

O WinLock, muito ativo entre 2011 e 2014, bloqueava o acesso à área de trabalho do Windows e exibia uma mensagem de erro. Imagem pornográfica acompanhada de uma solicitação de pagamento via SMS de tarifa premiumTecnicamente, era mais simples do que a criptografia moderna, mas muito eficaz: o usuário via seu computador inutilizável e, por vergonha ou medo, pagava rapidamente.

Logo depois, surgiram variantes que se faziam passar por forças policiais. O Reveton, detectado por volta de 2012, exibia uma mensagem supostamente originária da polícia. O FBI ou outras agências de aplicação da lei, acusando o usuário de crimes. (pirataria, distribuição de pornografia, etc.) e exigindo uma "multa" de cerca de US$ 200 para desbloquear o dispositivo. A combinação de intimidação legal e bloqueio do sistema elevou o valor das indenizações.

Em paralelo, o uso de métodos de pagamento alternativos e semi-anônimoscomo carteiras eletrônicas e serviços de SMS premium. Esse modelo de extorsão provou ser altamente lucrativo, a ponto de as autoridades policiais e os provedores de pagamento começarem a reagir.

A resposta regulatória e policial concentrou-se no corte de financiamento e na ativação de alertas de segurança na internet: reforçar os controles sobre pagamentos eletrônicos, rastrear dinheiro e fechar os canais usados ​​para coletar resgatesEssa pressão reduziu a rentabilidade do modelo de bloqueio e forçou muitos grupos a mudar de tática ou a desaparecer.

A revolução das criptomoedas e o impacto do Bitcoin

O verdadeiro salto qualitativo ocorreu com a popularização do Bitcoin e de outras criptomoedas, ao oferecer um sistema de pagamento. difícil de rastrear e sem controle centralizadoTornou-se o complemento perfeito para o ransomware. Os atacantes não precisavam mais depender de serviços de SMS premium ou carteiras eletrônicas mais regulamentadas.

Em vez de simplesmente bloquear o sistema operacional ou o navegador, as novas famílias começaram a Criptografe arquivos pessoais e corporativos de forma robusta.A vítima não conseguiu recuperar seus dados nem mesmo reinstalando o sistema. Para os criminosos, isso abriu caminho para resgates muito maiores: centenas de dólares para usuários individuais e dezenas de milhares para empresas.

Entre 2014 e 2016, os dados da Kaspersky mostram que as tentativas de infecção por ransomware dispararam: de pouco mais de 130.000 para mais de 700.000 em um único anoFamílias de criptogramas como TeslaCrypt, CTB-Locker, Scatter e Cryakl dominaram o cenário, sendo responsáveis ​​por quase 80% dos ataques detectados durante esse período, embora alguns deles tenham acabado com ferramentas de descriptografia públicas.

A abrangência geográfica dos ataques também se expandiu. Países como Índia, Rússia, Cazaquistão, Vietnã, Argélia, Brasil e Ucrânia foram particularmente afetados. variantes “mais antigas” ou menos sofisticadasEntretanto, em mercados como a Itália e a Alemanha, tornou-se comum encontrar criptografia agressiva, onde "ransomware" passou a ser praticamente sinônimo de "todo o seu disco criptografado".

Ao mesmo tempo, os criminosos mudaram o seu foco: Eles passaram de atacar quase exclusivamente usuários domésticos para também focar em empresas.A proporção de organizações afetadas cresceu rapidamente, uma vez que o impacto operacional da perda de servidores, bancos de dados e sistemas críticos tornou as empresas alvos muito mais lucrativos.

CryptoLocker, Petya e a profissionalização do modelo

O ano de 2013 marcou uma virada com o CryptoLocker. Este malware introduziu o uso generalizado de Servidores de comando e controle (C&C) para gerenciar o ataque.Uma vez infectada, a máquina comunicava-se com uma infraestrutura remota controlada pelos atacantes, que geravam chaves únicas, negociavam prazos e podiam até prolongar a pressão sobre a vítima.

Graças a essa abordagem mais “orientada para os negócios” — campanhas amplas, negociação, prazos, suporte ao “cliente” para pagamentos — A CryptoLocker arrecadou dezenas de milhões de dólares em apenas alguns meses.Ele também foi um dos primeiros a exigir sistematicamente o pagamento em Bitcoin, lançando as bases para o modelo atual.

Em 2014 e 2015, o ransomware expandiu seus alvos técnicos: Dispositivos Android e sistemas Linux começaram a ser atacados. por meio de famílias de software como SimpleLocker, Sypeng ou Encoder, que eram frequentemente distribuídas disfarçadas de atualizações de software legítimas (por exemplo, atualizações falsas do Flash). A mensagem era clara: não se tratava mais apenas de PCs com Windows.

Em 2016, surgiu o Petya, que levou a abordagem clássica de criptografar apenas arquivos um passo adiante. Em vez disso, ele atacou o tabela mestra de arquivos (MFT) do disco, desativando completamente o sistema.O dispositivo bloqueava com uma temida caveira vermelha na tela, e a única opção aparente era pagar. Sua distribuição por meio de campanhas de phishing direcionadas a empresas demonstrou que os atacantes aperfeiçoaram o uso do e-mail como vetor de ataque.

O impacto midiático dessas campanhas — com capturas de tela, empresas fechando as portas e depoimentos públicos — Sem querer, serviu como campanha de marketing para ransomware.Isso despertou o interesse de novos grupos criminosos que viram nesse tipo de ataque uma fonte de renda muito superior a outros golpes online tradicionais.

WannaCry, NotPetya e ransomware como arma geopolítica

Entre 2017 e 2018, o uso de Vulnerabilidades de dia zero roubadas de agências governamentais Isso elevou o ransomware a um novo patamar. O vazamento de ferramentas como EternalBlue e EternalRomance — atribuído à NSA — permitiu que os atacantes combinassem criptografia com recursos de worms, propagando-se de máquina para máquina sem intervenção humana.

O WannaCry, em 2017, é provavelmente o caso mais conhecido: em poucas horas infectou centenas de milhares de dispositivos em mais de 150 paísesAfetando empresas, hospitais, órgãos públicos e todos os tipos de organizações. Explorando a vulnerabilidade EternalBlue, o malware se propaga lateralmente em redes Windows sem as atualizações de segurança, exibindo uma mensagem de resgate com um cronômetro e ameaçando excluir dados.

Paradoxalmente, a própria agressividade do WannaCry se voltou contra seus criadores: o ataque se espalhou tão rapidamente que Eles perderam o controle da própria campanha.A descoberta de um mecanismo de segurança no código ajudou a impedir a propagação. Mesmo assim, o prejuízo financeiro foi enorme, e muitas empresas reagiram investindo em backups e planos de recuperação de desastres.

Os grupos criminosos se adaptaram rapidamente. Se as organizações estivessem melhor protegidas com backups, o próximo passo seria... também atacam repositórios de backup e sistemas de armazenamento redundantes, de modo que a única alternativa viável para muitas vítimas era negociar o resgate.

O NotPetya, também de 2017 e originário do conflito entre a Rússia e a Ucrânia, reutilizou algumas das mesmas vulnerabilidades, mas com um propósito diferente. Embora tenha sido apresentado como ransomware, na prática... Ele funcionava como um "limpador" projetado para destruir dados em larga escala.O verdadeiro objetivo deles não parecia ser arrecadar dinheiro, mas causar o máximo de danos à infraestrutura crítica ucraniana e às empresas relacionadas, afetando inclusive as cadeias de suprimentos internacionais.

Esse tipo de incidente demonstrou que o ransomware Não era mais apenas uma ferramenta de extorsão econômica, mas também uma arma de guerra digital.Governos e grandes empresas começaram a levar muito mais a sério a necessidade de atualizações rápidas de segurança, segmentação de rede e planos de continuidade de negócios.

Caça de animais de grande porte e a era da extorsão dupla e tripla

A partir de 2019, uma estratégia diferente ganhou força: em vez de lançar campanhas massivas e ruidosas, muitos grupos optaram por ataques direcionados contra grandes organizaçõesEssa tática é conhecida como "Caça de Grandes Animais": o valor de cada vítima é tão alto que compensa o esforço adicional de reconhecimento e infiltração.

Os atacantes analisam minuciosamente o alvo, identificam sistemas críticos, estudam a faturação, procuram apólices de seguro cibernético e até mesmo Eles negociam com conhecimento das capacidades econômicas da empresa.Durante esse período, o valor médio dos resgates triplicou, passando de quantias de cinco dígitos para valores de seis ou sete dígitos em dólares.

Ao mesmo tempo, o modelo de dupla extorsãoCriptografar os dados já não é suficiente: antes disso, os criminosos os extraem. Se a vítima optar por restaurar os dados a partir de backups e se recusar a pagar, o grupo ameaça publicar informações sensíveis (código-fonte, dados de clientes, registros médicos, etc.) em fóruns da dark web ou divulgá-las para a mídia.

Alguns grupos chegaram ao ponto de pressionar diretamente. clientes, pacientes ou parceiros das empresas afetadasDisseram-lhes que os seus dados tinham sido comprometidos e que poderiam ser divulgados caso a organização não efetuasse o pagamento. Um caso particularmente notório foi o de uma clínica de psicoterapia na Finlândia, onde os pacientes foram extorquidos um a um.

Famílias como Maze, Egregor ou Sodinokibi/REvil aperfeiçoaram esse modelo, combinando criptografia, roubo de dados e campanhas de comunicação agressivas. Páginas de denúncia na dark webListas de vítimas que se recusam a pagar tornaram-se um elemento central da estratégia de pressão.

Ransomware como serviço e a industrialização do crime

Por volta de 2020-2021, o ransomware deu outro salto: o surgimento de Plataformas de Ransomware como Serviço (RaaS) que operam quase como startups criminosas. Os desenvolvedores de malware fornecem a infraestrutura, o painel de controle e as ferramentas de criptografia; os afiliados se encarregam de comprometer as vítimas e implantar o ataque.

Em contrapartida, os operadores da plataforma retêm uma porcentagem do resgate — às vezes perto de 10%, deixando 90% para o afiliado — o que Isso reduz drasticamente a barreira de entrada para cibercriminosos com menos conhecimento técnico.Casos como o da franquia Conti mostraram até que ponto o modelo poderia ser profissionalizado, com "funcionários juniores", salários fixos, bônus e manuais internos vazados.

Entretanto, o seguinte ganhou destaque Corretores de Acesso Inicial (IAB)São grupos especializados em obter credenciais, explorar vulnerabilidades ou manter backdoors em redes corporativas, que depois revendem para operadores de ransomware e outros agentes maliciosos. Dessa forma, a fase de intrusão é "terceirizada" para especialistas.

Estudos de inteligência sobre ameaças indicam que, somente no segundo semestre de 2021, houve Mais de mil acessos corporativos à venda. O objetivo principal do ataque às operações de ransomware é combater especificamente as atividades desses intermediários. Atacar os negócios desses intermediários tornou-se fundamental para interromper a cadeia de valor do ransomware.

Todo esse ecossistema levou ao funcionamento atual do ransomware como uma indústria criminosa perfeitamente estruturadaCom funções diferenciadas (desenvolvedores, afiliados, negociadores, lavadores de dinheiro, IAB…), serviços de suporte e um ciclo contínuo de inovação em malware.

Ransomware em números: impacto global e setorial

Estatísticas recentes mostram a magnitude do problema. No primeiro semestre de 2022, mais de 236 milhões de ataques de ransomware em todo o mundoSegundo a Statista, outro relatório indicou que quase 71% das empresas sofreram pelo menos um ataque de ransomware naquele mesmo ano, e que quase dois terços das vítimas acabaram pagando o resgate.

Ao analisar por setor, os seguintes objetivos se destacam como recorrentes: pequenas e médias empresas, saúde, educação, administração pública, serviços industriais e setor bancário.Na área da saúde, por exemplo, o impacto não é apenas econômico: atrasos em cirurgias, desvios de ambulâncias e até mortes indiretamente relacionadas à indisponibilidade de sistemas essenciais já foram documentados.

Estudos conjuntos realizados por fabricantes de segurança e empresas de análise, como a VDC Research e a Kaspersky, estimaram as perdas potenciais em dezenas de bilhões de dólares apenas em setores como o da indústria manufatureiraRegiões como a Ásia-Pacífico concentram uma parte muito significativa desse risco devido à sua rápida transformação digital.

O uso de criptomoedas continua sendo a norma. Durante anos, mais de 95% dos pagamentos de algumas grandes corporações foram feitos por meio delas. plataformas de câmbio mal regulamentadasMuitos deles estão em jurisdições com menos cooperação internacional, o que complica a perseguição policial.

Tudo isso faz do ransomware um dos... ameaças econômicas mais sérias para as empresas hoje em dia, com um custo médio de violação de segurança de cerca de vários milhões de dólares, quando se somam os resgates financeiros, as paralisações da produção, as perdas de reputação e as sanções regulatórias.

Da criptografia à extorsão múltipla e ataques sem criptografia.

Mais do que simples criptografia, o ransomware moderno se transformou em algo mais. mecanismo de extorsão flexívelA dupla extorsão (criptografia + roubo de dados) tornou-se uma prática comum, e muitos grupos passaram a utilizar a tripla extorsão, adicionando ataques DDoS ou pressão direta sobre clientes e parceiros.

Nos últimos anos também houve um aumento em ataques sem criptografiaNesses ataques, o grupo dispensa os sistemas de bloqueio e se concentra exclusivamente no roubo de informações confidenciais. Ao mostrar à vítima uma pequena amostra dos dados roubados, eles pretendem demonstrar que possuem o restante e acelerar o pagamento, reduzindo o tempo que passam na rede e o risco de serem detectados.

Nesse contexto, a relação entre atacante e vítima tornou-se mais "profissional". Mensagens estáticas com um temporizador já não são tão comuns; agora é típico ter... canais de comunicação interativos (bate-papos na dark web, e-mails criptografados) onde prazos, descontos, testes parciais de descriptografia, etc., são discutidos.

Os grupos levam em consideração se a empresa possui bons backups, opera em um setor regulamentado, está sujeita ao GDPR ou a outras regulamentações de proteção de dados e adaptam o ameaças à exposição jurídica e reputacional específica de cada vítimaEssa complexidade significa que a resposta a incidentes exige a atuação coordenada de advogados, especialistas em conformidade, negociadores e especialistas técnicos.

Em paralelo, o próprio uso de ransomware como cobertura para operações puramente destrutivas —como no caso do NotPetya— adiciona uma camada extra de incerteza: nem sempre fica claro se o objetivo real é arrecadar dinheiro ou danificar infraestrutura, o que complica a tomada de decisões durante um incidente.

Inteligência artificial, IoT e o futuro imediato do ransomware

Nos últimos anos, o impacto de Inteligência artificial e modelos de linguagem nas mãos de atacantesGrupos emergentes têm usado IA para gerar código, aprimorar ataques de phishing com mensagens quase indistinguíveis das legítimas ou automatizar parte do reconhecimento prévio a ataques.

Uma mudança em direção a vetores menos tradicionaisEsses dispositivos, como dispositivos IoT, câmeras IP, eletrodomésticos conectados e outros sistemas, geralmente possuem atualizações de segurança insuficientes e carecem de soluções de segurança robustas. Esses equipamentos podem servir tanto como pontos de entrada quanto como instrumento de extorsão (por exemplo, ameaçando divulgar vídeos ou dados capturados por esses dispositivos).

A curto prazo, é provável que vejamos plataformas de Ransomware como Serviço (RaaS). Impulsionada por IA capaz de automatizar grande parte da cadeia de ataque.Desde a varredura em massa de alvos, exploração de vulnerabilidades e movimentação lateral, até a elaboração de notas de resgate personalizadas e até mesmo o uso de deepfakes para pressionar executivos.

Essa automação pode aumentar drasticamente o número de vítimas, especialmente entre provedores de serviços gerenciados e cadeias de suprimentos complexas, onde um único incidente se espalha para centenas ou milhares de clientes. Operações de baixo custo e alto volume Essas ações serão combinadas com ataques altamente direcionados a "grandes presas", mantendo a atividade criminosa diversificada.

Diante desse cenário, as organizações precisam fortalecer não apenas suas medidas tradicionais (atualizações, backups, antivírus), mas também capacidades avançadas de detecção e respostaAnálise comportamental, segmentação de rede e controles específicos sobre acesso remoto e ambientes em nuvem.

De antivírus clássicos a defesas em profundidade contra ransomware.

Os programas antivírus tradicionais, baseados principalmente em assinaturas, ficam aquém em comparação com ransomware que muda constantemente de forma e técnicasHoje em dia, é essencial combinar várias camadas de proteção que abrangem tudo, desde o dispositivo final até a rede e a nuvem.

Uma boa estratégia envolve a integração soluções modernas de segurança de endpoints (EPP/EDR/XDR) Com recursos de prevenção de exploração, bloqueio de comportamentos suspeitos, isolamento de processos e resposta automatizada, essas ferramentas permitem interromper a movimentação lateral, cessar a comunicação com servidores de comando e controle e conter a ameaça em seus estágios iniciais.

Igualmente crucial é ter backups regulares, desconectados e imutáveisarmazenados em sistemas que não são permanentemente acessíveis a partir da rede corporativa. Caso contrário, o ransomware também pode criptografar backups e deixar a organização sem um plano B.

A microsegmentação de rede, o reforço do acesso privilegiado, a autenticação multifator robusta e as atualizações constantes de software reduzem significativamente a superfície de ataque. Isso é ainda mais aprimorado por... treinamento contínuo de funcionários Para reconhecer e-mails de phishing, links suspeitos e comportamentos anômalos.

Por fim, é fundamental ter um plano de resposta a incidentes comprovado — incluindo funções claras, procedimentos de isolamento, comunicação interna e externa, relações com as autoridades policiais e análise forense — e contar com um Modelo resiliente para CISO Faz toda a diferença entre um susto controlado e uma crise prolongada..

Após mais de três décadas de evolução, o ransomware passou de um experimento distribuído em disquetes a se tornar um Uma indústria criminosa global altamente profissionalizada, apoiada por criptomoedas, serviços RaaS e inteligência artificial.Embora as táticas, técnicas e objetivos tenham evoluído — bloqueadores, criptografia, extorsão dupla, programas de limpeza disfarçados e ataques sem criptografia — a essência permanece a mesma: extorsão pura e simples. Organizações que aceitam que o ransomware veio para ficar e fortalecem sua postura de segurança com backups robustos, defesa em profundidade, visibilidade da rede e treinamento contínuo terão uma chance muito maior de resistir à crise do que aquelas que continuam a depender exclusivamente de soluções básicas ou desatualizadas.

Artigo relacionado:

Novos modelos de negócios do cibercrime: investimento, lavagem de dinheiro e riscos para as empresas