Ransomware

O ransomware Akira está explorando a vulnerabilidade CVE-2024-40766 para acessar dispositivos VPN SSL da SonicWall, mesmo em contas que utilizam autenticação multifator (MFA). Pesquisadores de segurança, como os da Arctic Wolf Labs, relataram um aumento nos logins maliciosos em instâncias da SonicWall SSL VPN, sugerindo que os atacantes conseguiram comprometer as sementes de senhas de uso único (OTP), permitindo que contornassem as proteções de MFA. Apesar de a SonicWall ter lançado patches e recomendado a redefinição de credenciais, os ataques continuam a ocorrer. O Google identificou um grupo de ameaças, denominado UNC6148, que está utilizando credenciais e sementes de OTP roubadas em campanhas de ataque direcionadas a dispositivos SonicWall SMA 100, que estão fora de suporte. Isso levanta preocupações significativas sobre a eficácia das medidas de segurança implementadas, uma vez que os atacantes estão conseguindo autenticar-se em contas protegidas por MFA. A situação destaca a necessidade de vigilância contínua e de ações proativas para proteger as infraestruturas de TI contra essas ameaças emergentes.

A KNP Logistics, uma empresa britânica com 158 anos de história, faliu em junho de 2025 após ser vítima de um ataque de ransomware. O grupo Akira conseguiu acessar o sistema da empresa através de uma senha fraca de um funcionário que não utilizava autenticação em dois fatores. Os hackers apagaram todos os backups e sistemas de recuperação, exigindo um resgate de £5 milhões (cerca de R$ 35,6 milhões) para restaurar os dados. A KNP, que operava 500 caminhões e empregava 700 pessoas, não tinha recursos para pagar o resgate e, em poucas semanas, encerrou suas atividades, deixando os funcionários desempregados. Este incidente destaca a vulnerabilidade das empresas, mesmo as mais estabelecidas, a ataques cibernéticos, e a importância de implementar medidas de segurança robustas, como senhas fortes e autenticação multifatorial. Além disso, a falência da KNP Logistics ilustra o impacto devastador que um ataque cibernético pode ter não apenas na saúde financeira de uma empresa, mas também na comunidade que depende de seus serviços.

A nova versão 5.0 do ransomware LockBit representa um avanço significativo em suas operações de ransomware como serviço (RaaS). Pela primeira vez, o LockBit oferece binários totalmente suportados para Windows, diversas distribuições Linux e hipervisores VMware ESXi, permitindo que atacantes comprometam simultaneamente endpoints, servidores e hosts de virtualização. Essa capacidade de ataque multiplataforma reduz drasticamente o tempo de impacto, afetando tanto as camadas de produção quanto de virtualização. Após a desarticulação da infraestrutura do LockBit em fevereiro de 2024, seus afiliados rapidamente migraram para novos canais de comando e controle, demonstrando resiliência e inovação. A versão 5.0 introduz técnicas avançadas de evasão e criptografia, como execução em memória e rotinas de criptografia paralela, dificultando a resposta a incidentes e a recuperação baseada em backups. Para se proteger contra essa ameaça, as organizações devem adotar uma estratégia de defesa em profundidade, que inclua segmentação de rede, controles de acesso, proteção de endpoints e servidores, segurança de hipervisores e rigor na recuperação de dados.

Na última quarta-feira (25), a Agência Nacional de Crimes do Reino Unido (NCA) prendeu um homem de aproximadamente 40 anos, suspeito de estar envolvido na invasão aos sistemas da Collins Aerospace, que ocorreu na semana anterior. O ataque, identificado como ransomware, causou o cancelamento e atraso de voos em diversos aeroportos europeus, incluindo os de Bruxelas, Berlim, Cork, Dublin e Heathrow. O software MUSE, utilizado para unificar check-in e marcação de bagagens, foi diretamente afetado, resultando em perturbações significativas nas operações aéreas. O delegado-chefe Paul Foster destacou que, embora a prisão seja um passo positivo, a investigação ainda está em estágios iniciais e o cibercrime continua a ser uma ameaça global. Até o momento, não foram encontradas ligações com grupos hackers conhecidos. O homem foi liberado sob fiança condicional enquanto as investigações prosseguem.

As autoridades de Union County, Ohio, confirmaram um incidente de cibersegurança que afetou 45.487 pessoas devido a uma violação de dados ocorrida entre 6 e 18 de maio de 2025. O ataque, classificado como um sequestro de dados (ransomware), resultou no comprometimento de informações sensíveis, incluindo números de Seguro Social, dados de cartões de pagamento, informações financeiras, impressões digitais, dados médicos e números de identificação emitidos pelo estado, como carteiras de motorista e passaportes. Embora o grupo responsável pelo ataque ainda não tenha se manifestado publicamente, a investigação revelou que os criminosos acessaram a rede do condado durante um período de 12 dias. Union County está oferecendo monitoramento de identidade gratuito e um seguro contra roubo de identidade de até US$ 1 milhão para as vítimas afetadas, com prazo para inscrição até 31 de dezembro de 2025. Este incidente é um dos maiores vazamentos de dados de 2025, destacando a crescente ameaça de ataques de ransomware a entidades governamentais nos Estados Unidos, que já registraram 61 ataques confirmados até o momento, comprometendo mais de 431.000 registros.

O ransomware BQTLOCK, identificado recentemente, opera sob o modelo Ransomware-as-a-Service (RaaS) desde julho de 2025. Associado ao grupo hacktivista pro-Palestina Liwaa Mohammed, o malware utiliza uma metodologia de dupla extorsão, exigindo pagamentos que variam de 13 a 40 XMR (aproximadamente R$ 18.000 a R$ 54.000). Os atacantes impõem um prazo de 48 horas para que as vítimas entrem em contato, com a ameaça de dobrar o valor do resgate se não houver resposta. Após sete dias, as chaves de descriptografia são excluídas permanentemente, e os dados roubados são vendidos em um site controlado pelos criminosos.

O grupo de ransomware Qilin adicionou a cidade de Waxhaw, na Carolina do Norte, ao seu site de vazamento de dados após alegadamente roubar 619 GB de informações. Em um comunicado emitido em 14 de setembro de 2025, a cidade confirmou que sofreu um ataque cibernético na madrugada de 12 de setembro, que causou ‘irregularidades’ nos sistemas, mas garantiu que os serviços de emergência permaneceram operacionais. Embora a cidade tenha reconhecido que os criminosos conseguiram acessar alguns servidores, não houve confirmação de que dados pessoais foram comprometidos. O Qilin, que opera desde agosto de 2022 e já reivindicou 130 ataques confirmados, utiliza e-mails de phishing para disseminar seu ransomware. Este ataque é parte de uma onda crescente de ataques a organizações governamentais nos EUA, com 61 incidentes confirmados em 2025, destacando a vulnerabilidade do setor público a tais ameaças. A cidade de Waxhaw, que abriga cerca de 21.700 habitantes, continua suas operações normais, embora alguns serviços possam ser afetados.

O Madison Elementary School District 38, localizado em Phoenix, Arizona, notificou cerca de 35 mil pessoas sobre uma violação de dados resultante de um ataque de ransomware realizado pelo grupo Interlock em abril de 2025. O ataque, que ocorreu em 7 de abril, foi facilitado por engenharia social, onde um funcionário da escola foi enganado. Embora a escola não tenha especificado quais dados foram comprometidos, a oferta de serviços de proteção de identidade sugere que informações sensíveis, como números de Seguro Social e dados financeiros, podem estar envolvidas. O grupo Interlock, ativo desde outubro de 2024, já realizou 29 ataques confirmados, sendo nove deles em instituições educacionais nos EUA. O ataque à Madison é o segundo maior em termos de registros afetados, com mais de 150 mil registros comprometidos em ataques confirmados no setor educacional dos EUA em 2025. A escola contratou a Arete para investigar a extensão da violação, que custou mais de 21 mil dólares. Até o momento, não está claro se um resgate foi exigido ou pago.

O grupo de ransomware Rhysida reivindicou a responsabilidade por um incidente de segurança cibernética que afetou a Administração de Trânsito de Maryland (MTA) em agosto de 2025. O ataque resultou em acesso não autorizado aos sistemas da MTA, causando a perda de dados e interrupções nos serviços de paratransito. Rhysida exigiu um resgate de 30 bitcoins, equivalente a aproximadamente 3,4 milhões de dólares, e publicou imagens de documentos supostamente roubados, incluindo cartões de Seguro Social e passaportes. A MTA confirmou a perda de dados, mas não divulgou detalhes específicos devido à sensibilidade da investigação em andamento. Até o momento, não está claro quantas pessoas foram afetadas ou se o resgate será pago. Rhysida, que opera um modelo de ransomware como serviço, já realizou 91 ataques confirmados desde sua fundação em 2023, comprometendo cerca de 5,5 milhões de registros. Este incidente destaca a crescente ameaça de ataques de ransomware a entidades governamentais nos Estados Unidos, com 59 ataques confirmados em 2025, afetando mais de 386 mil registros.

As autoridades do Reino Unido prenderam um homem suspeito de ser o responsável por um ataque de ransomware que afetou operações em aeroportos europeus, incluindo o Heathrow, em Londres. A prisão ocorreu na terça-feira, em West Sussex, e o suspeito foi liberado sob fiança enquanto a investigação prossegue. O ataque, que atingiu os sistemas de manuseio de bagagens e check-in da Collins Aerospace, causou atrasos e cancelamentos de voos em aeroportos como Heathrow, Bruxelas, Dublin e Berlim. A empresa, que fornece software para várias companhias aéreas, teve que recorrer a processos manuais, resultando em grandes transtornos para os passageiros. O ataque foi confirmado como um caso de ransomware, onde arquivos críticos foram criptografados e um pagamento em criptomoeda foi exigido para a recuperação. A situação destaca a crescente vulnerabilidade do setor de aviação a ataques cibernéticos, com um aumento de 600% nos ataques contra entidades do setor no último ano. Especialistas pedem uma maior colaboração entre aeroportos, reguladores e fornecedores de software para mitigar riscos futuros.

O caso da KNP Logistics Group, que operou por 158 anos, ilustra a fragilidade da segurança cibernética em empresas, mesmo as mais estabelecidas. Em junho de 2025, a empresa foi alvo do grupo de ransomware Akira, que acessou seus sistemas ao adivinhar uma senha fraca de um funcionário. A falta de autenticação multifatorial (MFA) permitiu que os hackers se infiltrassem facilmente, criptografando dados críticos e destruindo backups, resultando em uma demanda de resgate de £5 milhões. Apesar de ter seguro contra ataques cibernéticos e conformidade com normas de TI, a KNP não conseguiu se recuperar e acabou entrando em administração, resultando na demissão de 700 funcionários. O incidente destaca a importância de políticas de senhas robustas e da implementação de MFA, além de um plano de recuperação de desastres eficaz. Com 19.000 empresas no Reino Unido atacadas por ransomware no último ano, a situação é alarmante e exige atenção urgente das organizações para evitar consequências devastadoras.

Recentemente, a Marks & Spencer (M&S), uma grande varejista do Reino Unido, sofreu um ataque de ransomware que paralisou seus sistemas internos e impediu que funcionários acessassem arquivos críticos. Este incidente destaca as falhas nas estratégias de backup das empresas, que poderiam ter evitado a criptografia ou exclusão de dados se os backups estivessem isolados. A HyperBUNKER, uma startup de Zagreb, propõe uma solução inovadora com seu cofre offline baseado em tecnologia de diodo, que cria um canal unidirecional para backups, mantendo-os desconectados de redes externas. Embora essa abordagem tenha se mostrado eficaz em ambientes militares e nucleares, sua implementação em empresas comuns levanta questões sobre custo e praticidade. A HyperBUNKER afirma que sua tecnologia evita vulnerabilidades associadas a protocolos de rede, mas a eficácia depende de manuseio cuidadoso e locais seguros. Apesar das promessas, a adoção de soluções de armazenamento offline pode ser vista como um ônus financeiro adicional para empresas que já utilizam múltiplas soluções de backup. As empresas devem avaliar se os custos e riscos de roubo físico superam os benefícios de proteção oferecidos por essa nova tecnologia.

O Zloader, também conhecido como Terdot, DELoader ou Silent Night, ressurgiu como um sofisticado trojan de acesso inicial, fornecendo aos operadores de ransomware uma forma discreta de invadir redes corporativas após quase dois anos de inatividade. Originado do código do trojan bancário Zeus em 2015, as novas versões 2.11.6.0 e 2.13.7.0 apresentam camadas de ofuscação aprimoradas e medidas anti-análise robustas, além de protocolos de rede refinados para evitar sistemas de detecção modernos.

O grupo de ransomware Kawa4096, que surgiu em junho de 2025, rapidamente ganhou notoriedade ao atacar multinacionais em diversos setores, incluindo finanças, educação e serviços, nos Estados Unidos e Japão. Diferente de outros grupos que se concentram em setores específicos, Kawa4096 não demonstra preferência industrial, o que aumenta seu alcance e potencial de dano. O grupo utiliza um modelo de dupla extorsão, onde os dados das vítimas são não apenas criptografados, mas também ameaçados de divulgação caso o resgate não seja pago.

No final de agosto de 2025, o escritório do Procurador Geral da Pensilvânia (PA AG) anunciou que sofreu um ataque de ransomware em 11 de agosto, que impediu o acesso de funcionários a e-mails arquivados, arquivos e sistemas internos. O grupo de ransomware Inc reivindicou a responsabilidade pelo ataque em 20 de setembro, alegando ter roubado 5,7 TB de dados, incluindo documentos do escritório. A PA AG não confirmou a reivindicação, mas afirmou que se recusou a pagar o resgate e notificou indivíduos cujas informações podem ter sido comprometidas. O Procurador Geral, Dave Sunday, declarou que a situação testou a equipe, mas que estão comprometidos em proteger os cidadãos da Pensilvânia. O ataque é parte de uma tendência crescente de ataques de ransomware a entidades governamentais, com 58 ataques confirmados em 2025, sendo 11 apenas em agosto. O grupo Inc, ativo desde julho de 2023, utiliza técnicas como phishing direcionado e exploração de vulnerabilidades conhecidas para realizar seus ataques, afetando setores como saúde, educação e governo.

O ransomware BlackLock, uma ameaça sofisticada que opera em múltiplas plataformas, foi identificado como um risco significativo para organizações que utilizam sistemas Windows, Linux e VMware ESXi. Desenvolvido na linguagem Go, BlackLock possui um design modular e um modelo de Ransomware-as-a-Service (RaaS), permitindo que seus operadores personalizem ataques de acordo com as necessidades. Desde sua primeira aparição em junho de 2024, o grupo por trás do ransomware, inicialmente chamado El Dorado, rebatizou-se como BlackLock em setembro do mesmo ano. O ransomware é capaz de criptografar arquivos em diferentes sistemas, utilizando rotinas avançadas de criptografia, como o algoritmo ChaCha20, e técnicas de troca de chaves como o ECDH para proteger os metadados. Após a criptografia, o BlackLock apaga cópias de sombra e limpa a lixeira para dificultar a recuperação dos dados. O grupo tem como alvo setores variados, incluindo instituições públicas, educação, transporte e manufatura, com operações registradas nos EUA, Coreia do Sul e Japão. Dada sua capacidade de afetar ambientes críticos, as equipes de segurança devem adotar estratégias rigorosas de backup e proteção de endpoints para mitigar os riscos associados a esse ransomware.

Duas prisões foram realizadas no Reino Unido, incluindo a de Thalha Jubair, de 19 anos, acusado de participar de uma operação de ransomware que resultou em mais de 115 milhões de dólares em pagamentos de resgate. O grupo Scattered Spider, do qual Jubair faz parte, é responsável por pelo menos 120 invasões em redes de computadores em todo o mundo, afetando 47 entidades nos Estados Unidos, incluindo empresas Fortune 500 e sistemas de infraestrutura crítica. Os ataques foram caracterizados pelo uso de técnicas de engenharia social para obter acesso não autorizado e criptografar sistemas, exigindo resgates substanciais para restaurar a funcionalidade. As autoridades destacaram a colaboração internacional entre agências de segurança, incluindo o FBI e a National Crime Agency do Reino Unido, que resultou na apreensão de mais de 36 milhões de dólares em criptomoedas ligadas aos ataques. Se condenado, Jubair pode enfrentar até 95 anos de prisão. Este caso ressalta a crescente ameaça de cibercriminosos e a necessidade de uma resposta coordenada entre países para combater o crime cibernético.

Duas prisões foram realizadas no Reino Unido em conexão com um ataque cibernético ao Transport for London (TfL) em agosto de 2024. Thalha Jubair, de 19 anos, e Owen Flowers, de 18, foram detidos pela National Crime Agency (NCA). Flowers já havia sido preso anteriormente, mas liberado sob fiança, e agora enfrenta novas acusações por ataques a empresas de saúde nos EUA. O ataque ao TfL causou grandes prejuízos financeiros e interrupções significativas, afetando a infraestrutura crítica do Reino Unido. Jubair, por sua vez, foi acusado de conspiração para fraudes cibernéticas e lavagem de dinheiro, com envolvimento em mais de 120 intrusões em redes e extorsão de 47 entidades nos EUA, resultando em pagamentos de resgate que totalizam mais de 115 milhões de dólares. As investigações revelaram que os hackers usaram técnicas de engenharia social para obter acesso não autorizado às redes, roubando e criptografando informações. O Departamento de Justiça dos EUA também apresentou queixas contra Jubair, que pode enfrentar até 95 anos de prisão se condenado. Este caso destaca o aumento das ameaças cibernéticas e a necessidade de vigilância constante por parte das autoridades e empresas.

O grupo de cibercrime ShinyHunters, conhecido por extorsões de dados em larga escala, ampliou suas táticas em 2025, incluindo phishing por voz habilitado por IA e compromissos na cadeia de suprimentos. Em colaboração com afiliados como Scattered Spider, o grupo está lançando campanhas sofisticadas de vishing contra plataformas de SSO em setores como varejo, aviação e telecomunicações, exfiltrando grandes conjuntos de dados de clientes e preparando o novo ransomware ‘shinysp1d3r’ para atacar ambientes VMware ESXi.

O grupo de ransomware Everest reivindicou a responsabilidade pelo roubo de aproximadamente 600.000 linhas de documentos internos da Bayerische Motoren Werke AG (BMW), um dos maiores incidentes de segurança no setor automotivo em 2025. Os arquivos comprometidos incluem relatórios de auditoria, especificações de engenharia, demonstrações financeiras e comunicações executivas confidenciais. A análise de especialistas em cibersegurança revelou que os atacantes obtiveram acesso inicial por meio de um ponto de acesso remoto (RDP) comprometido, utilizando credenciais fracas ou reutilizadas para se mover lateralmente na rede da BMW. A exfiltração dos dados foi automatizada, com arquivos criptografados enviados para um servidor de comando e controle. A situação é crítica, pois a divulgação dos documentos pode resultar em danos à reputação da BMW, além de riscos regulatórios e de propriedade intelectual. Especialistas recomendam a adoção de uma arquitetura de segurança de confiança zero, autenticação multifatorial rigorosa e avaliações de vulnerabilidade regulares. A BMW ainda não confirmou oficialmente o incidente, enquanto a pressão aumenta para proteger suas informações proprietárias.

Em agosto de 2025, o grupo de ransomware Qilin se destacou como o operador mais ativo, atacando 104 organizações, quase o dobro do segundo colocado, Akira, que atingiu 56 vítimas. Este aumento contínuo de incidentes de ransomware, que totalizou 467 globalmente, reflete uma tendência preocupante no cenário de cibersegurança. Desde abril, Qilin já reivindicou 398 vítimas, representando 18,4% dos ataques registrados. A eficácia do grupo é atribuída a incentivos robustos para afiliados e operações de ransomware como serviço, utilizando técnicas avançadas de evasão, como execução sem arquivos e exploração de credenciais fracas de RDP e VPN.

O Goshen Medical Center, Inc. iniciou a notificação de 456.385 pessoas sobre uma violação de dados resultante de um ataque cibernético que começou em fevereiro de 2025. O grupo de ransomware BianLian reivindicou a responsabilidade pelo ataque em março. A violação foi detectada em 4 de março, quando a instituição percebeu atividades suspeitas em sua rede. A investigação revelou que arquivos contendo informações sensíveis, como nomes, endereços, datas de nascimento, números de Seguro Social, números de carteira de motorista e números de registros médicos, podem ter sido acessados sem autorização desde 15 de fevereiro. Após o ataque, BianLian publicou os dados do centro médico em seu site de vazamento, alegando ter roubado registros pessoais e dados financeiros. Este incidente se torna o terceiro maior ataque de ransomware a uma empresa de saúde nos EUA em 2025, destacando a crescente ameaça de ataques cibernéticos no setor de saúde. O Goshen Medical Center, fundado em 1979, atende cerca de 53.000 pacientes em mais de 35 locais na Carolina do Norte.

A gangue de ransomware Qilin reivindicou a responsabilidade por um ataque ao governo local de Spartanburg County, na Carolina do Sul, que ocorreu em 8 de agosto de 2025. O ataque comprometeu os sistemas do condado e afetou arquivos de integração de pessoal, contendo informações de funcionários. Segundo a Qilin, foram roubados 390 GB de dados, incluindo informações pessoais de residentes, como nomes, endereços, números de telefone e dados bancários. Este é o terceiro incidente de violação de dados do condado desde 2018. Embora a Qilin afirme que a recuperação dos serviços é impossível e que uma grande quantidade de dados foi exposta publicamente, os oficiais do condado não confirmaram a extensão da violação. O condado já enfrentou outras violações, incluindo uma em abril de 2023 que afetou 8.575 pessoas. A Qilin, que opera um modelo de ransomware como serviço, tem como alvo principalmente organizações governamentais e utiliza e-mails de phishing para disseminar seu malware. Este ataque destaca a crescente ameaça de ransomware a entidades governamentais nos EUA e a necessidade de medidas de segurança robustas.

O HybridPetya é um novo tipo de ransomware que explora uma vulnerabilidade na Interface Unificada do Firmware Extensível (UEFI), permitindo que o malware tome controle do computador antes mesmo de sua inicialização completa. Identificado por pesquisadores da ESET, esse bootkit é o quarto a conseguir burlar as defesas do sistema operacional Windows, similar a vírus anteriores como Petya e NotPetya. Embora o HybridPetya ainda seja uma prova de conceito e não tenha sido amplamente disseminado, ele representa uma ameaça significativa, pois pode criptografar a Master File Table (MFT) dos discos rígidos, exigindo um resgate de US$ 1.000 em Bitcoin para a recuperação dos arquivos. A vulnerabilidade explorada, CVE-2024-7344, já foi corrigida pela Microsoft em atualizações recentes. Apesar de não estar ativo, especialistas alertam para a necessidade de monitoramento contínuo, dado o potencial de evolução de ameaças semelhantes. O impacto do NotPetya em 2017, que causou prejuízos de mais de R$ 50 bilhões globalmente, serve como um alerta sobre os riscos associados a esse novo ransomware.

No dia 8 de setembro de 2025, o grupo de ransomware KillSec assumiu a responsabilidade por um ataque sofisticado à MedicSolution+, uma plataforma de gestão de práticas médicas baseada em nuvem, amplamente utilizada por clínicas no Brasil. Os atacantes comprometeram buckets do AWS S3 que continham mais de 34 GB de registros de pacientes e ativos médicos, exfiltrando cerca de 95.000 arquivos, incluindo raios-X não editados, resultados de exames e fotos de menores. A análise da Resecurity revelou que a violação foi possível devido a endpoints de armazenamento em nuvem mal configurados, que não possuíam controles de acesso adequados e criptografia. O ataque destaca a vulnerabilidade das organizações de saúde que dependem de fornecedores de TI, pois clínicas que utilizam a MedicSolution+ agora enfrentam riscos de vazamento de dados. Após a violação, o KillSec publicou uma nota de resgate em seu site na rede TOR, ameaçando divulgar os registros médicos do Brasil caso não houvesse negociação. O incidente ressalta a necessidade urgente de auditoria nas configurações de ativos em nuvem e a implementação de políticas rigorosas de privilégio mínimo para proteger dados sensíveis de pacientes.

O grupo de ransomware BlackNevas, surgido no final de 2024, rapidamente se tornou uma ameaça significativa para empresas e infraestruturas críticas em todo o mundo. Diferente de muitos grupos que operam sob o modelo Ransomware-as-a-Service (RaaS), o BlackNevas realiza campanhas direcionadas com precisão devastadora. Com operações concentradas na região Ásia-Pacífico, especialmente no Japão, Coreia e Tailândia, o grupo também tem atacado países europeus como Reino Unido, Itália e Lituânia, além de regiões nos Estados Unidos, como Connecticut.

Uma nova variante de ransomware, chamada Yurei, foi identificada no cenário de cibercrime, com seu primeiro ataque registrado em 5 de setembro de 2025, visando uma empresa de alimentos no Sri Lanka. O grupo, que se expandiu rapidamente para vítimas na Índia e Nigéria, adota um modelo de dupla extorsão, criptografando dados e exfiltrando arquivos sensíveis para pressionar as vítimas durante as negociações de resgate.

Desenvolvido na linguagem Go, o ransomware Yurei se inspira no projeto open-source Prince-Ransomware, mas apresenta melhorias significativas, como o uso do modelo de concorrência do Go para acelerar a criptografia. Ele utiliza a cifra ChaCha20 para criptografar arquivos, gerando chaves únicas para cada um. No entanto, uma falha crítica herdada de seu predecessor é a não remoção das Cópias de Sombra de Volume, permitindo que as vítimas possam restaurar dados sem pagar o resgate.

O ransomware continua a ser uma das ameaças cibernéticas mais significativas para empresas e indivíduos em 2025. Segundo o relatório da Verizon sobre Investigações de Vazamento de Dados, os ataques de ransomware são um dos principais motivadores de ataques financeiros, com novas variantes surgindo diariamente. A proteção contra ransomware se tornou uma necessidade crítica para salvaguardar ativos digitais, utilizando tecnologias como detecção de ameaças em tempo real, análise comportamental e recuperação automatizada. O artigo apresenta uma lista das dez melhores ferramentas de proteção contra ransomware, destacando suas características principais e adequações para diferentes perfis de usuários. Ferramentas como Bitdefender e Norton se destacam pela eficácia em testes independentes e pela inclusão de recursos como backup em nuvem e proteção contra phishing. A análise é baseada em critérios de experiência, eficácia, autoridade e confiabilidade, garantindo que as recomendações sejam fundamentadas em dados de testes respeitados. Com o aumento da sofisticação dos ataques, incluindo táticas de ‘dupla extorsão’, a escolha de uma solução robusta é mais importante do que nunca.

Rachel Higham, diretora de digital e tecnologia da Marks & Spencer (M&S), anunciou sua saída da empresa após um ciberataque significativo que ocorreu em maio deste ano. O ataque, que foi amplamente divulgado, resultou na interrupção de serviços online e comprometeu dados de clientes, levando a M&S a suspender pedidos online e restringir pagamentos em lojas. Embora a empresa tenha confirmado o roubo de informações pessoais identificáveis, garantiu que dados sensíveis, como detalhes de cartões de pagamento e senhas, não foram comprometidos. A situação gerou discussões sobre a crescente ameaça cibernética no setor varejista, com especialistas sugerindo que as empresas adotem uma abordagem de segurança em múltiplas camadas, incluindo a detecção de ameaças impulsionada por inteligência artificial. A saída de Higham também provocou uma reorganização na liderança da M&S, com Sacha Berendji assumindo a supervisão das áreas digital e de tecnologia. As ações da M&S caíram mais de 8% neste ano, refletindo o impacto contínuo do incidente.

Os Estados Unidos anunciaram uma recompensa de US$ 11 milhões (aproximadamente R$ 60 milhões) por informações que levem à captura de Volodymyr Tymoshchuk, um hacker ucraniano acusado de liderar uma série de ataques de ransomware que causaram prejuízos de até US$ 18 bilhões (R$ 97 bilhões) em três anos. Tymoshchuk é apontado como o responsável pelos ransomwares MegaCortex, LockerGoga e Nefilim, que operaram entre dezembro de 2018 e outubro de 2021. Os ataques visavam empresas de grande porte, instituições de saúde e complexos industriais, sendo um dos mais notórios o ataque à Norsk Hydro, que resultou em danos de R$ 440 milhões. O Departamento de Justiça dos EUA destacou que Tymoshchuk utilizava softwares de penetração, como Metasploit e Cobalt Strike, para infiltrar-se nos sistemas das vítimas, permanecendo oculto por meses antes de executar os ataques. Caso extraditado e julgado, ele pode enfrentar pena de prisão perpétua. A situação ressalta a crescente ameaça de ransomware e a necessidade de vigilância constante por parte das empresas, especialmente aquelas que operam em setores críticos.

Pesquisadores de cibersegurança identificaram uma nova variante de ransomware chamada HybridPetya, que se assemelha ao famoso malware Petya/NotPetya, mas com a capacidade de contornar o mecanismo Secure Boot em sistemas UEFI. A empresa ESET, da Eslováquia, revelou que amostras do malware foram enviadas à plataforma VirusTotal em fevereiro de 2025. O HybridPetya criptografa a Master File Table (MFT), que contém metadados cruciais sobre arquivos em partições formatadas em NTFS. Diferente de suas versões anteriores, ele instala um aplicativo EFI malicioso na partição do sistema EFI, permitindo a criptografia da MFT. O ransomware possui dois componentes principais: um bootkit e um instalador, sendo o bootkit responsável por verificar o status de criptografia e executar o processo de criptografia. Caso o sistema já esteja criptografado, uma nota de resgate é apresentada ao usuário, exigindo o pagamento de $1.000 em Bitcoin. Embora não haja evidências de que o HybridPetya esteja sendo utilizado ativamente, a descoberta destaca a crescente complexidade e sofisticação dos ataques de ransomware, especialmente em relação a sistemas UEFI. A ESET também observou que variantes do HybridPetya exploram vulnerabilidades conhecidas, como a CVE-2024-7344, que permite a execução remota de código e a violação do Secure Boot.

O senador americano Ron Wyden solicitou à Comissão Federal de Comércio (FTC) que investigue a Microsoft por ’negligência cibernética grave’ que facilitou ataques de ransomware em infraestruturas críticas dos EUA, incluindo redes de saúde. A demanda surge após um ataque devastador ao sistema de saúde Ascension, que resultou no roubo de informações pessoais de 5,6 milhões de indivíduos. O ataque, atribuído ao grupo Black Basta, ocorreu quando um contratante clicou em um link malicioso no Bing, permitindo que os atacantes explorassem configurações inseguras do software da Microsoft. Wyden criticou a empresa por não impor senhas robustas e por continuar a suportar o algoritmo de criptografia RC4, considerado vulnerável. Apesar de a Microsoft ter anunciado melhorias de segurança e planos para descontinuar o suporte ao RC4, o senador argumenta que a falta de ações mais rigorosas expõe os clientes a riscos significativos. O artigo destaca a necessidade de um design de segurança mais rigoroso em plataformas de TI dominantes, especialmente quando estas são fundamentais para a infraestrutura nacional.

Pesquisadores de segurança alertam que o ransomware Akira está explorando uma vulnerabilidade antiga no SSLVPN da SonicWall, afetando firewalls das gerações Gen5, Gen6 e Gen7 que ainda não foram atualizados. Essa falha de controle de acesso inadequado foi descoberta e corrigida há mais de um ano, mas muitas organizações ainda não aplicaram o patch necessário. Além de atacar firewalls desatualizados, o Akira também se aproveita de configurações padrão do grupo LDAP e do acesso público ao Virtual Office Portal da SonicWall. Isso permite que usuários sem as permissões adequadas acessem o SSLVPN. Os especialistas da Rapid7 recomendam que as empresas troquem senhas de todas as contas SonicWall, configurem corretamente as políticas de autenticação multifator (MFA) e restrinjam o acesso ao Virtual Office Portal apenas a redes internas confiáveis. O Akira tem se mostrado ativo nos últimos dois anos, com um foco agressivo em dispositivos de borda, o que representa um risco significativo para as organizações que não tomarem medidas imediatas.

O grupo de ransomware Akira tem intensificado seus ataques a dispositivos SonicWall, especialmente aqueles que utilizam a SSL VPN. A empresa de cibersegurança Rapid7 relatou um aumento nas intrusões envolvendo esses aparelhos, que se intensificaram após a reativação das atividades do grupo em julho de 2025. A SonicWall identificou que os ataques exploram uma vulnerabilidade de um ano (CVE-2024-40766, com pontuação CVSS de 9.3), onde senhas de usuários locais não foram redefinidas durante uma migração. A empresa recomenda que os clientes ativem o filtro de botnets e as políticas de bloqueio de contas para mitigar os riscos. Além disso, a SonicWall alertou sobre a configuração inadequada dos grupos de usuários padrão do LDAP, que pode permitir que contas comprometidas herdem permissões indevidas. O grupo Akira, que já afetou 967 vítimas desde sua criação em março de 2023, utiliza técnicas sofisticadas, como phishing e SEO, para disseminar malware e realizar operações de ransomware. As organizações são aconselhadas a rotacionar senhas, remover contas inativas e restringir o acesso ao portal Virtual Office. O Australian Cyber Security Centre também confirmou que o grupo está atacando organizações australianas vulneráveis através de dispositivos SonicWall.

A cidade de Viena, na Virgínia, anunciou que notificou 811 indivíduos sobre uma violação de dados ocorrida em agosto de 2025, que comprometeu informações sensíveis, incluindo nomes, números de Seguro Social, dados financeiros e números de passaporte. O grupo de ransomware Cephalus reivindicou a responsabilidade pelo ataque, embora as autoridades de Viena ainda não tenham confirmado essa alegação. A violação foi detectada em 14 de agosto, mas os invasores conseguiram acessar a rede da cidade em 11 de agosto, utilizando ransomware para criptografar partes do sistema. A notificação aos afetados não incluiu ofertas de monitoramento de crédito ou seguro contra fraudes, práticas comuns após incidentes que envolvem dados pessoais críticos. O Cephalus é um grupo novo que começou suas atividades em agosto de 2025, explorando conexões de desktop remoto (RDP) sem autenticação multifatorial. Até agora, foram registradas 56 violações confirmadas contra entidades governamentais dos EUA em 2025, destacando a crescente ameaça de ataques de ransomware. A situação em Viena ressalta a necessidade urgente de medidas de segurança robustas para proteger dados sensíveis, especialmente em um contexto onde ataques a governos estão se tornando mais frequentes.

A Cornwell Quality Tools notificou 103.782 pessoas sobre uma violação de dados ocorrida em dezembro de 2024, que comprometeu números de Seguro Social, informações médicas e dados financeiros. O grupo de ransomware Cactus assumiu a responsabilidade pelo ataque em fevereiro de 2025, alegando ter roubado 4,6 TB de dados, incluindo documentos sensíveis como cópias de carteiras de motorista e declarações fiscais. A empresa não confirmou se pagou um resgate ou como a violação ocorreu, mas informou que tomou medidas imediatas para proteger seus sistemas após detectar atividades incomuns em sua rede. Além disso, a Cornwell está oferecendo monitoramento de crédito gratuito por 12 meses e um seguro contra fraudes de identidade para as vítimas. Este não é o primeiro ataque de ransomware enfrentado pela empresa, que já havia notificado anteriormente sobre uma violação em setembro de 2022. O grupo Cactus, que começou a operar em abril de 2023, é conhecido por seu modelo de ransomware como serviço, visando principalmente fabricantes. Em 2024, foram registrados 86 ataques confirmados a fabricantes nos EUA, com a violação da Cornwell sendo a maior em termos de registros comprometidos.

O ransomware LunaLock emergiu como uma nova ameaça, atacando artistas independentes e clientes de arte digital ao comprometer a plataforma Artists & Clients, um mercado popular para obras encomendadas. Em 8 de setembro de 2025, os operadores do LunaLock anunciaram que conseguiram invadir a infraestrutura da plataforma, exfiltrando arquivos sensíveis e criptografando bancos de dados críticos, exigindo um resgate substancial em criptomoeda. A análise forense preliminar revelou que os atacantes exploraram uma vulnerabilidade zero-day no módulo de autenticação da aplicação web, utilizando uma injeção SQL para contornar a autenticação multifatorial e obter privilégios administrativos. Uma vez dentro, eles implantaram um carregador personalizado que desativou a proteção em tempo real do Windows Defender e um módulo de exfiltração que buscou arquivos de arte e dados pessoais dos clientes, criptografando-os com AES-256-GCM. O ransomware, por sua vez, utilizou RSA-4096 para criptografar os arquivos, adicionando a extensão .luna. Os atacantes ameaçaram publicar os dados roubados em sites de vazamento caso o resgate não fosse pago em até 72 horas. A equipe de segurança da Artists & Clients já tomou medidas, como a desativação dos servidores afetados e a implementação de agentes de detecção e resposta em endpoints para mitigar a situação. Especialistas em cibersegurança recomendam que organizações do setor criativo adotem controles de acesso de menor privilégio e mantenham backups offline para se protegerem contra tais ataques.

Um estudo abrangente realizado ao longo de três anos em Austrália, Canadá, Nova Zelândia e Reino Unido revelou tendências alarmantes nas operações de ransomware, com organizações australianas registrando 135 ataques documentados entre 2020 e 2022. A pesquisa analisou 865 incidentes de ransomware e destacou a evolução sofisticada das empresas cibernéticas, que agora adotam modelos de ransomware-as-a-service (RaaS). Nesse modelo, grupos principais desenvolvem o malware e gerenciam os pagamentos, enquanto afiliados realizam as invasões e negociações de resgate. O grupo Conti foi o mais ativo, com 141 ataques, seguido pelas variantes do LockBit, que contabilizaram 129 incidentes. O setor industrial foi o mais afetado, com o estudo utilizando inteligência artificial para classificar as organizações atacadas em 13 setores, alcançando 89% de precisão. Os resultados ressaltam a necessidade urgente de medidas de cibersegurança aprimoradas nas infraestruturas críticas australianas, à medida que os grupos de ransomware continuam a evoluir suas táticas e expandir suas capacidades operacionais.

O Wayne Memorial Hospital, localizado em Jesup, Georgia, confirmou um vazamento de dados que afetou 163.440 pessoas, revelando informações sensíveis como números de Seguro Social, senhas, dados financeiros e históricos médicos. O incidente, que ocorreu entre 30 de maio e 3 de junho de 2024, foi atribuído ao grupo de ransomware Monti, que ameaçou divulgar os dados roubados até 8 de julho de 2024. Inicialmente, o hospital havia notificado apenas 2.500 pessoas sobre o vazamento em agosto de 2024, mas atualizou o número após uma investigação forense que revelou o alcance do ataque. O hospital está oferecendo 12 meses de assistência contra fraudes e monitoramento de crédito aos afetados. Monti, que já foi responsável por outros ataques a instituições de saúde, utiliza vulnerabilidades de software para acessar e criptografar dados, exigindo resgates para a devolução das informações. Em 2024, foram registrados 174 ataques de ransomware a provedores de saúde nos EUA, comprometendo cerca de 28,6 milhões de registros, destacando a crescente ameaça a esse setor.

O cenário global de ransomware em 2025 está em constante evolução, com o grupo SafePay se destacando como uma das ameaças mais ativas e disruptivas. Em junho, o grupo assumiu a responsabilidade por ataques a 73 organizações, um recorde mensal que o posicionou no topo do ranking de ameaças da Bitdefender. Em julho, mais 42 vítimas foram divulgadas, totalizando mais de 270 organizações atacadas até agora neste ano. O SafePay, que surgiu em setembro de 2024 após a desarticulação de grandes grupos de ransomware, adota uma abordagem diferente ao rejeitar o modelo de ransomware como serviço (RaaS) e realizar seus próprios ataques, visando empresas de médio e grande porte, especialmente em setores como manufatura, saúde e construção. O grupo utiliza táticas como credenciais comprometidas e ataques de força bruta para obter acesso inicial, seguido por movimentos laterais na rede e exfiltração de dados. A criptografia dos arquivos é realizada com o algoritmo ChaCha20, e os resgates variam amplamente, podendo ultrapassar US$ 100 milhões. A eficiência e a rapidez das divulgações do SafePay destacam a necessidade urgente de medidas de segurança em múltiplas camadas e monitoramento proativo.

O grupo de ransomware Inc reivindicou a responsabilidade por um ataque cibernético ocorrido em agosto de 2025 na Universidade de St. Thomas, em Houston, Texas. O ataque, que causou uma interrupção de nove dias nos sistemas da instituição, foi relatado pela universidade em 13 de agosto, que inicialmente afirmou não haver evidências de dados comprometidos. No entanto, Inc alegou ter roubado 1,8 TB de dados e publicou amostras de documentos supostamente extraídos da universidade. A Universidade de St. Thomas ainda não confirmou a alegação do grupo, e não se sabe se um resgate foi pago ou quais dados foram realmente comprometidos. O ataque resultou na paralisação do site e dos servidores da universidade, afetando serviços essenciais para os alunos, como acesso à moradia e registro de cursos. O grupo Inc, que surgiu em 2023, utiliza táticas como phishing direcionado e exploração de vulnerabilidades conhecidas, operando sob um modelo de ransomware como serviço. Até agora, o grupo já reivindicou 122 ataques confirmados, incluindo 15 em instituições educacionais. A crescente onda de ataques de ransomware em escolas nos EUA, com 30 incidentes confirmados em 2025, destaca a vulnerabilidade do setor educacional e a necessidade de medidas de segurança robustas.

O Distrito Escolar 5 de Lexington e Richland, na Carolina do Sul, confirmou um vazamento de dados que afetou 31.475 pessoas, revelando informações sensíveis como nomes, números de Seguro Social, dados financeiros e identificações emitidas pelo estado. O ataque, atribuído ao grupo de ransomware Interlock, resultou em atrasos no início das aulas de verão e na liberação de bônus para funcionários, além de bloquear o acesso dos colaboradores às suas contas. O grupo Interlock, que já reivindicou 28 ataques confirmados, afirma ter roubado 1,3 TB de dados da instituição. A escola está oferecendo monitoramento de crédito gratuito e um seguro contra roubo de identidade de até US$ 1 milhão para as vítimas. Embora o distrito tenha reconhecido a violação, não está claro se um resgate foi pago ou como o ataque foi realizado. Este incidente destaca a crescente ameaça de ataques de ransomware em instituições educacionais, que podem paralisar operações e expor dados pessoais a fraudes.

O grupo de ransomware Dire Wolf, que surgiu em maio de 2025, rapidamente se tornou uma ameaça significativa à cibersegurança, atacando organizações em diversas indústrias e regiões. Desde seu primeiro ataque, que resultou na divulgação de seis vítimas em um site da darknet, o grupo tem utilizado uma estratégia de dupla extorsão, combinando a criptografia de dados com ameaças de vazamento de informações.

A técnica de criptografia do Dire Wolf é sofisticada, utilizando algoritmos como Curve25519 e ChaCha20, o que torna a recuperação de dados extremamente difícil. O ransomware não utiliza arquivos de configuração tradicionais, mas sim argumentos de linha de comando para controle, e implementa um sistema de mutex para evitar execuções múltiplas. Além disso, o malware apaga cópias de sombra e interrompe serviços essenciais, eliminando opções de recuperação.

Os ataques de ransomware aumentaram em agosto de 2025, subindo de 473 em julho para 506, representando um crescimento de 7%. Este é o segundo mês consecutivo de alta após uma queda de março a junho. Um ataque inédito atingiu o Estado de Nevada, afetando serviços essenciais e deixando cidadãos sem acesso a informações críticas. Embora os ataques a governos continuem a ser uma preocupação, o setor de manufatura registrou um aumento significativo de 57% nos ataques, totalizando 113 incidentes. Em contraste, os setores de saúde e educação tiveram apenas um ataque confirmado cada, mas um número maior de ataques não confirmados. O grupo de ransomware mais ativo foi o Qilin, responsável por 86 ataques, seguido por Akira e Sinobi. No total, 30 ataques foram confirmados, com 17 direcionados a empresas e 11 a entidades governamentais. O impacto financeiro e operacional desses ataques é significativo, exigindo atenção especial dos CISOs, especialmente em setores críticos como saúde e manufatura.

Pesquisadores da ESET, Anton Cherepanov e Peter Strycek, descobriram o PromptLock, o primeiro ransomware desenvolvido com a ajuda de inteligência artificial. Embora ainda não tenha sido visto em ação, a ESET alertou a comunidade de cibersegurança sobre essa nova ameaça. O PromptLock utiliza o modelo gpt-oss-20b da OpenAI, que é uma versão gratuita do ChatGPT, e opera localmente em dispositivos infectados através da API Ollama.

O ransomware é capaz de inspecionar arquivos, extrair dados e criptografá-los, podendo futuramente ser utilizado para extorsão. Ele é compatível com sistemas operacionais Windows, Linux e macOS. O código do malware indica que ele pode até destruir arquivos, embora essa funcionalidade ainda não esteja totalmente implementada. O PromptLock utiliza a encriptação SPECK de 128 bits e é escrito na linguagem Go. A ESET também observou que variantes do malware foram enviadas para a plataforma VirusTotal, que serve como repositório de vírus para especialistas em segurança.

O ransomware NightSpire, detectado pela primeira vez em fevereiro de 2025, rapidamente se tornou uma das principais ameaças cibernéticas para corporações globais. Utilizando um modelo de Ransomware-as-a-Service (RaaS), o grupo aperfeiçoou sua estratégia de dupla extorsão e métodos avançados de criptografia, afetando setores variados, como varejo, manufatura e serviços financeiros. NightSpire escolhe suas vítimas com base na exploração sistemática de vulnerabilidades em redes mal protegidas, frequentemente devido à falta de atualizações de segurança e falhas na gestão de credenciais. Após a infiltração, o ransomware criptografa arquivos e diretórios, interrompendo operações comerciais essenciais. As vítimas recebem notas de resgate e são pressionadas por meio de um site de vazamento dedicado, que também serve como plataforma de negociação. A técnica de criptografia do NightSpire é notável, utilizando chaves simétricas AES e RSA, o que dificulta a recuperação dos dados. A combinação de expertise técnica e guerra psicológica coloca o NightSpire na vanguarda da evolução do ransomware, exigindo que as empresas adotem defesas e planos de resposta a incidentes urgentes e sistemáticos.

A Microsoft Threat Intelligence revelou que o grupo de cibercriminosos Storm-0501, conhecido por atacar escolas e prestadores de serviços de saúde nos EUA, evoluiu suas táticas, agora utilizando operações de ransomware nativas da nuvem. Em vez de depender apenas de malware para criptografar dispositivos locais, o grupo explora vulnerabilidades em ambientes de nuvem híbridos, realizando exfiltração de dados em larga escala e comprometendo recursos do Azure.

O ataque geralmente começa com a violação do Active Directory através de contas de administrador de domínio comprometidas, permitindo acesso ao Microsoft Entra ID. O Storm-0501 utiliza ferramentas como AzureHound para enumerar recursos na nuvem e escalar privilégios, muitas vezes através de contas mal configuradas que não exigem autenticação multifator (MFA). Após obter acesso total, o grupo realiza operações de descoberta e exfiltração, deletando backups e utilizando APIs legítimas do Azure para dificultar a recuperação dos dados. A extorsão final frequentemente ocorre por meio de mensagens no Microsoft Teams.

Pesquisadores da ESET descobriram o PromptLock, o primeiro ransomware conhecido a utilizar inteligência artificial. Este malware, que ainda é considerado um conceito em desenvolvimento, utiliza scripts em Lua gerados por prompts codificados para explorar sistemas de arquivos locais, inspecionar arquivos-alvo, exfiltrar dados selecionados e realizar criptografia. O PromptLock opera localmente através da API Ollama, utilizando o modelo gpt-oss:20b da OpenAI, lançado em agosto de 2025. A versatilidade dos scripts em Lua permite que o malware funcione em diferentes sistemas operacionais, como macOS, Linux e Windows. Embora o PromptLock ainda não tenha sido observado em ataques reais, especialistas alertam que a combinação de inteligência artificial e ransomware representa uma nova era de ameaças cibernéticas, tornando os ataques mais acessíveis e difíceis de detectar. A imprevisibilidade dos resultados gerados por modelos de linguagem torna a defesa contra esses ataques ainda mais desafiadora, aumentando a preocupação entre as equipes de segurança.

O grupo de ransomware PEAR reivindicou um ataque cibernético ao município de West Chester Township, em Ohio, ocorrido em agosto de 2025. Em 12 de agosto, as autoridades do município informaram que isolaram e contiveram uma violação de segurança cibernética. Três dias depois, PEAR afirmou ter roubado 2 TB de dados e listou o município em seu site de vazamento de dados. Até o momento, West Chester Township não confirmou a reivindicação do grupo, e não se sabe se um resgate foi pago ou como os atacantes conseguiram acessar a rede. Em 26 de agosto, o município sofreu um segundo ataque, desta vez ao seu servidor de e-mail central, levando ao fechamento de serviços de e-mail, telefone e website. Funcionários relataram ter recebido notas de resgate, mas nenhum grupo assumiu a responsabilidade por esse segundo ataque. As investigações estão em andamento com a ajuda de analistas do FBI, e os dados comprometidos ainda não foram divulgados. O grupo PEAR, que se concentra em roubo de dados e extorsão sem criptografar informações, já reivindicou 22 ataques, sendo apenas dois confirmados. Este incidente destaca a crescente ameaça de ataques de ransomware a entidades governamentais nos EUA, que podem comprometer sistemas críticos e a privacidade de cidadãos e funcionários.

A empresa de cibersegurança ESET revelou a descoberta de um novo ransomware chamado PromptLock, que utiliza inteligência artificial para gerar scripts maliciosos em tempo real. Escrito em Golang, o PromptLock emprega o modelo gpt-oss:20b da OpenAI através da API Ollama para criar scripts em Lua que podem enumerar sistemas de arquivos, inspecionar arquivos-alvo, exfiltrar dados e criptografar informações. Este ransomware é compatível com Windows, Linux e macOS, e é capaz de gerar notas personalizadas para as vítimas, dependendo dos arquivos afetados. Embora ainda não se saiba quem está por trás do malware, a ESET identificou que artefatos do PromptLock foram enviados ao VirusTotal a partir dos Estados Unidos em 25 de agosto de 2025. A natureza do ransomware, que é considerada uma prova de conceito, utiliza o algoritmo de criptografia SPECK de 128 bits. A ESET alerta que a variabilidade dos indicadores de comprometimento (IoCs) torna a detecção mais desafiadora, complicando as tarefas de defesa. O surgimento do PromptLock destaca como a IA pode facilitar a criação de campanhas de malware, mesmo para criminosos com pouca experiência técnica.