O que é o ransomware?

O ransomware apresenta-se sob duas formas principais: ransomware criptográfico e ransomware de cacifo, que se dividem ainda em vários subtipos.

Ransomware de criptomoedas
Num ataque de cripto ransomware, o atacante encripta os dados ou ficheiros sensíveis da vítima para que esta não lhes possa aceder a não ser que pague um resgate solicitado. Em teoria, assim que a vítima paga, o atacante entrega uma chave de desencriptação que lhe dá acesso aos ficheiros ou dados, no entanto, não há garantias. Muitas organizações perderam permanentemente o acesso aos seus ficheiros, mesmo depois de terem pago o resgate.

Ransomware de bloqueio
No ransomware de cacifo, os malfeitores bloqueiam o acesso da vítima ao seu dispositivo e apresentam-lhe uma nota de resgate no ecrã com instruções sobre como pagar um resgate para recuperar o acesso. Normalmente, esta forma de ransomware não envolve a encriptação, por isso, assim que a vítima recupera o acesso ao respetivo dispositivo, os dados e ficheiros confidenciais são preservados. O ransomware Locker é normalmente utilizado em dispositivos móveis.

Estas duas formas principais de ransomware dividem-se nos seguintes subtipos:

Scareware
O scareware utiliza o medo para levar as pessoas a pagar um resgate. Neste tipo de ciberataques, os malfeitores fazem-se passar por uma agência de aplicação da lei e enviam uma mensagem à vítima acusando-a de um crime e exigindo uma multa.

Doxware
No Doxware, os malfeitores roubam informações pessoais e ameaçam revelá-las publicamente se não for pago um resgate.

Ransomware de extorsão dupla
No ransomware de extorsão dupla, os atacantes não só encriptam ficheiros, como também roubam dados sensíveis e ameaçam divulgá-los publicamente se o resgate não for pago.

Wipers
Os Wipers ameaçam destruir os dados da vítima se esta não pagar o resgate.

A maioria dos ataques de ransomware segue um processo de três passos.

1. Obter acesso
Os maus atores utilizam vários métodos para obter acesso aos dados sensíveis de uma empresa. Um dos mais comuns é o phishing, que é quando os cibercriminosos utilizam o e-mail, mensagens de texto ou chamadas telefónicas para enganar as pessoas, levando-as a fornecer as suas credenciais ou a descarregar malware. Os maus atores também visam os empregados e outros utilizadores com sítios Web maliciosos que utilizam o chamado kit de exploração para descarregar e instalar automaticamente malware no dispositivo da vítima.

2. Encripte dados.
Assim que os atacantes de ransomware obtêm acesso aos dados sensíveis, copiam-nos e destroem o ficheiro original juntamente com quaisquer cópias de segurança a que tenham conseguido aceder. Em seguida, encriptam a sua cópia e criam uma chave de desencriptação.

3. Exigir um resgate
Depois de tornar os dados inacessíveis, o ransomware envia uma mensagem através de uma caixa de alerta que explica que os dados foram encriptados e pede dinheiro, normalmente em criptomoeda, em troca da chave de desencriptação. Os malfeitores por detrás destes ataques podem também ameaçar divulgar os dados ao público se a vítima se recusar a pagar.

Para além da interrupção imediata das operações, as consequências de um ataque de ransomware podem incluir perdas financeiras significativas, danos à reputação e desafios operacionais a longo prazo.

Implicações financeiras
O custo do pagamento de um resgate pode ser substancial, atingindo frequentemente os milhões de dólares, e não há qualquer garantia de que os atacantes forneçam a chave de desencriptação ou que esta funcione corretamente.

Mesmo quando as organizações se recusam a pagar o resgate, os custos financeiros podem ser elevados. A perturbação causada por um ataque de ransomware pode levar a um tempo de inatividade prolongado, afetando a produtividade e resultando potencialmente em perda de receitas. A recuperação de um ataque envolve despesas adicionais, incluindo o custo de investigações forenses, honorários legais e investimentos em medidas de segurança melhoradas.

Danos à reputação
Os clientes e parceiros podem perder a confiança numa empresa que tenha sido comprometida, levando a um declínio na fidelidade do cliente e a uma potencial perda de negócios futuros. Os ataques de grande visibilidade atraem frequentemente a atenção dos meios de comunicação social, o que pode prejudicar a reputação e a imagem de marca de uma empresa.

Desafios operacionais
Mesmo com cópias de segurança, existe o risco de perda ou corrupção de dados, o que pode afetar a continuidade do negócio e a eficiência operacional. As empresas podem também enfrentar sanções legais e regulamentares por não protegerem dados sensíveis, especialmente se estiverem sujeitas a regulamentos de proteção de dados como o Regulamento Geral de Proteção de Dados na União Europeia ou a Lei de Privacidade do Consumidor da Califórnia.

Muitos dos ataques de ransomware operados por humanos de maior visibilidade são conduzidos por grupos de ransomware, que operam utilizando um modelo de negócio de ransomware como serviço.

 

• Desde o seu surgimento em 2019, a LockBit tem como alvo vários setores, incluindo serviços financeiros, saúde e manufatura. Este ransomware é conhecido pela sua capacidade de se auto-propagar dentro das redes, o que o torna particularmente perigoso. Os afiliados da LockBit foram responsáveis por inúmeros ataques de grande visibilidade, utilizando técnicas sofisticadas para encriptar dados e pedir resgates. 
• Os ataques BlackByte envolvem frequentemente extorsão dupla, em que os cibercriminosos encriptam e exfiltram dados, ameaçando publicar os dados roubados se o resgate não for pago. Este ransomware tem sido utilizado para atingir sectores de infra-estruturas críticas, incluindo serviços governamentais e financeiros.
• O grupo por detrás do ransomware Hive, que esteve ativo entre junho de 2021 e janeiro de 2023, recorreu à extorsão dupla e visou normalmente instituições públicas e infra-estruturas críticas, incluindo estabelecimentos de saúde. Numa vitória significativa contra a cibercriminalidade, o FBI infiltrou-se na rede da Hive em 2022, capturando chaves de desencriptação e evitando mais de 130 milhões de dólares em pedidos de resgate. 
• O ransomware Akira é um malware sofisticado que está ativo desde o início de 2023 e visa tanto os sistemas Windows como os sistemas Linux. Os malfeitores utilizam o Akira para obter acesso inicial através de vulnerabilidades nos serviços VPN, em particular aqueles sem autenticação multifator. Desde o seu aparecimento, o Akira afetou mais de 250 organizações e arrecadou cerca de 42 milhões de dólares em receitas de ransomware.

 

Se for vítima de um ataque de ransomware, existem opções de recurso e remoção.

Isole os dados infetados
Assim que for possível, isole os dados comprometidos para ajudar a prevenir a expansão do ransomware a outras áreas da sua rede.

Execute um programa antimalware
Depois de isolar os sistemas infetados, utilize um programa antimalware para remover o ransomware.

Desencriptar ficheiros ou restaurar cópias de segurança
Se possível, utilize ferramentas de desencriptação fornecidas por agências de aplicação da lei ou investigadores de segurança para desencriptar ficheiros sem pagar o resgate. Se a desencriptação não for possível, restaure os ficheiros a partir das suas cópias de segurança.

Comunique o ataque
Entre em contacto com as autoridades locais ou federais para comunicar o ataque. Nos Estados Unidos, trata-se do gabinete local do FBI, do IC3 ou do Serviço Secreto. Este passo pode não resolver as suas preocupações imediatas, mas é importante, porque estas autoridades monitorizam ativamente ataques diferentes. Fornecer-lhes pormenores sobre a sua experiência pode ser útil nos seus esforços para encontrar e processar um cibercriminoso ou um grupo de cibercriminosos.

Tenha cuidado ao pagar o resgate
Embora possa ser tentador pagar o resgate, não há garantia de que os cibercriminosos mantenham a sua palavra e lhe concedam acesso aos seus dados. Os peritos de segurança e as autoridades recomendam que as vítimas de ataques de ransomware não paguem os resgates pedidos porque, ao fazê-lo, podem incentivar ameaças futuras e estão a apoiar ativamente atividades criminosas.

Os investigadores de segurança esperam que o ransomware continue a aumentar em frequência e complexidade nos próximos anos. Os avanços na IA estão a tornar mais fácil para os cibercriminosos automatizarem e melhorarem rapidamente o seu ransomware. E mais pessoas com competências técnicas limitadas estão a entrar no jogo, porque podem comprar ferramentas de ransomware baseadas em IA na dark web ou associar-se a uma organização de ransomware como serviço.

As organizações cibercriminosas de maior dimensão e mais sofisticadas, incluindo os intervenientes do Estado-nação, estão também a visar cada vez mais as infra-estruturas críticas e as cadeias de abastecimento, conduzindo a perturbações significativas das operações municipais e comerciais. Estas entidades visam frequentemente governos, sistemas de transporte e organizações de saúde com o objetivo de paralisar os serviços.

Para combater estas ameaças em evolução, as organizações estão a adotar a IA para a cibersegurança para as ajudar a detetar e responder a ataques de ransomware de forma rápida e eficaz. Estas tecnologias analisam grandes quantidades de dados para identificar padrões e anomalias que possam indicar um ataque de ransomware. Muitas destas soluções podem também responder automaticamente às ameaças detetadas, reduzindo o tempo necessário para atenuar um ataque.

O modelo de segurança Zero-Trust também está a ganhar força como forma de melhorar a cibersegurança e limitar a propagação de ransomware e outras atividades maliciosas.