Evolução do Ransomware em 2025
O Google Cloud, através do Google Threat Intelligence Group (GTIG), alertou para uma mudança significativa no cenário de ransomware. O modelo de negócio tradicional, baseado em criptografia e pagamento de resgate, está sob pressão financeira, levando os atacantes a adotarem novas táticas de extorsão.
Queda nos Pagamentos e Aumento no Roubo de Dados
As taxas de pagamento de resgate atingiram um histórico baixo no quarto trimestre de 2025. A Sophos relatou que as demandas médias caíram de US$ 2 milhões em 2024 para US$ 1,34 milhão em 2025. Em contrapartida, o roubo de dados como alavanca de extorsão subiu para 77% das intrusões, contra 57% no ano anterior.
REDBIKE Domina o Cenário
A análise do GTIG identificou a família REDBIKE como a mais prevalente, respondendo por quase 30% de todos os incidentes observados. Isso supera picos anteriores de LOCKBIT e ALPHV. A queda de operações RaaS como LockBit e ALPHV abriu espaço para grupos como Qilin e Akira, mas o REDBIKE consolidou sua posição rapidamente.
Ferramentas de Exfiltração
Os atacantes utilizam ferramentas familiares e amplamente disponíveis para mover dados. O Rclone apareceu em 28% dos incidentes de roubo de dados, seguido por WinRAR em 23%. Plataformas de nuvem como MEGA, OneDrive e Azure também foram usadas como destinos de exfiltração. O foco está em documentos legais, registros de RH e dados contábeis.
Recomendações de Defesa
Organizações devem implementar controles robustos de prevenção de perda de dados (DLP) e monitorar o tráfego de saída para transferências incomuns. Restringir o uso de ferramentas não aprovadas como Rclone e AzCopy é crucial. Manter logs detalhados de acesso a armazenamento em nuvem e visibilidade de atividade de endpoint fornece alerta precoce.
Preparação para Recuperação
Com a capacidade de recuperação de backups aumentando, os atacantes dependem mais da ameaça de vazamento de dados. A preparação para incidentes deve incluir planos de resposta a vazamentos e comunicação de crise. A segmentação de rede e o monitoramento de comportamento de usuários são essenciais para detectar exfiltração antes que os dados saiam do ambiente.