O grupo de ransomware Payouts King emergiu como uma ameaça cibernética séria, assumindo o legado operacional da agora extinta operação BlackBasta. Desde seu aparecimento em abril de 2025, o grupo realizou ataques direcionados silenciosamente, permanecendo amplamente sob o radar, combinando roubo agressivo de dados com criptografia seletiva de arquivos. A BlackBasta foi um dos grupos de ransomware mais ativos desde seu lançamento em fevereiro de 2022 como sucessor da notória gangue de ransomware Conti. O grupo operou por quase três anos antes de colapsar em fevereiro de 2025, quando seus logs de chat internos foram vazados publicamente, expondo seus membros e funcionamento interno.
Origem e linhagem da BlackBasta
Após o fechamento da BlackBasta, seus ex-filiais não desapareceram simplesmente. Em vez disso, eles se reagruparam e continuaram suas atividades criminosas sob diferentes famílias de ransomware, incluindo Cactus e, mais recentemente, Payouts King. Analistas do Zscaler ThreatLabz identificaram atividade de ransomware consistente com corretores de acesso inicial anteriores da BlackBasta no início de 2026 e atribuíram vários desses ataques ao grupo de ransomware Payouts King com alta confiança. Os pesquisadores notaram que muitos desses ataques espelham de perto as mesmas técnicas, táticas e procedimentos usados pelos afiliados da BlackBasta, particularmente a combinação de spam bombing, engenharia social baseada em Microsoft Teams e o abuso da ferramenta legítima do Windows Quick Assist.
Vetor e exploração
As vítimas são tipicamente inundadas com e-mails de spam, depois contatadas por um ator de ameaça se passando por um membro da equipe de TI e enganadas para conceder acesso remoto através de uma chamada no Microsoft Teams. Uma vez estabelecida uma posição na rede da vítima, o Payouts King implanta seu payload de ransomware, rouba grandes volumes de dados sensíveis e, em seguida, criptografa seletivamente arquivos. O grupo opera um site de vazamento de dados acessível via rede Tor, que é usado para pressionar as vítimas a pagar, ameaçando liberar suas informações roubadas. A nota de resgate, chamada "readme_locker.txt", é deixada na área de trabalho da vítima e fornece instruções de contato através da plataforma de mensagens TOX.
Análise técnica detalhada
O ransomware em si é tecnicamente sofisticado, usando criptografia RSA de 4.096 bits e AES de 256 bits em modo contador para bloquear arquivos da vítima. Cada arquivo é criptografado usando uma chave e vetor de inicialização gerados pseudoaleatoriamente, e os parâmetros de criptografia são armazenados em um formato estruturado de 487 bytes que começa com os bytes mágicos "CRPT". Para arquivos grandes que excedem 10MB, o Payouts King divide o arquivo em 13 blocos e criptografa parcialmente cada bloco, uma otimização de desempenho comum vista em ransomware moderno para acelerar o ataque.
Evasão e detecção
O Payouts King foi projetado do zero para evitar ferramentas de segurança. Ele emprega vários métodos de ofuscação, incluindo criptografia de string baseada em pilha, resolução de funções de API do Windows através de hashing e um algoritmo de checksum CRC personalizado com um valor polinomial de 0xBDC65592. Esses métodos derrotam tabelas de hash pré-computadas comumente usadas por analistas de segurança para reverter engenharia de malware rapidamente, tornando a análise estática consideravelmente mais difícil. O ransomware também usa um mecanismo anti-sandbox único. Por padrão, ele se recusa a começar a criptografia de arquivos a menos que um parâmetro de identidade específico seja passado na linha de comando, e o checksum CRC desse valor deve corresponder a um resultado esperado. Isso impede efetivamente que o malware seja executado em ambientes de sandbox automatizados usados por fornecedores de antivírus.
Medidas de mitigação recomendadas
Para se defender contra o Payouts King e ameaças semelhantes, as organizações devem treinar funcionários para reconhecer táticas de engenharia social como spam bombing e chamadas falsas de suporte de TI. A implementação de autenticação multifator, a restrição do uso de ferramentas de acesso remoto como Quick Assist apenas para pessoal de TI verificado e a implantação de detecção de ponto final baseada em comportamento são fortemente recomendadas. A caça proativa a ameaças combinada com atualizações contínuas aos controles de segurança permanece essencial para acompanhar grupos de ransomware que adaptam continuamente seus métodos.
Implicações regulatórias e LGPD
No contexto brasileiro, o vazamento de dados sensíveis por grupos como o Payouts King pode acarretar responsabilidades sob a Lei Geral de Proteção de Dados (LGPD). A notificação à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares afetados deve ser considerada imediatamente após a confirmação do incidente. A criptografia robusta usada pelo grupo, combinada com o roubo de dados antes da criptografia, aumenta a severidade do incidente, exigindo uma resposta forense detalhada para determinar o escopo da exposição de dados pessoais.
Perguntas frequentes
Como identificar se uma organização foi alvo do Payouts King? A detecção de arquivos criptografados com o cabeçalho "CRPT" e a presença da nota readme_locker.txt são indicadores primários. Além disso, o monitoramento de tráfego de saída para domínios Tor e o uso anômalo do Quick Assist por usuários não autorizados são sinais de alerta. O que fazer se um ataque for confirmado? Isolar sistemas infectados imediatamente, não pagar o resgate, preservar logs forenses e notificar as autoridades competentes. A criptografia pode ser revertida? Não, a criptografia RSA de 4.096 bits é computacionalmente inviável de reverter sem a chave privada, tornando o backup e a recuperação de desastres a única via de recuperação confiável.