Ransomware

O cenário de cibersegurança continua a se deteriorar, com ataques cada vez mais sofisticados e coordenados. Um dos principais incidentes recentes envolve a exploração de uma falha crítica no Oracle E-Business Suite, afetando diversas organizações desde agosto de 2025. A falha, identificada como CVE-2025-61882, possui uma pontuação CVSS de 9.8 e foi utilizada por grupos como o Cl0p para exfiltrar dados sensíveis. Além disso, o grupo Storm-1175 explorou uma vulnerabilidade no GoAnywhere MFT, resultando em ataques em setores variados, como transporte e educação.

Recentemente, o grupo de ameaças Storm-2603, associado a ataques de ransomware, tem utilizado o Velociraptor, uma ferramenta de resposta a incidentes de código aberto, para comprometer sistemas. Os atacantes exploraram vulnerabilidades do SharePoint, conhecidas como ToolShell, para obter acesso inicial e implantar uma versão desatualizada do Velociraptor, que possui uma vulnerabilidade de escalonamento de privilégios (CVE-2025-6264). Durante os ataques, que ocorreram em agosto de 2025, os invasores tentaram criar contas de administrador de domínio e se mover lateralmente dentro da rede comprometida, utilizando ferramentas como Smbexec para executar programas remotamente. Além disso, modificaram objetos de política de grupo do Active Directory e desativaram a proteção em tempo real para evitar detecções. Este é o primeiro caso em que o Storm-2603 foi vinculado ao uso do ransomware Babuk, além dos já conhecidos Warlock e LockBit. A análise sugere que o grupo possui características de atores patrocinados por estados-nação, devido à sua organização e práticas de desenvolvimento sofisticadas. As implicações para a segurança cibernética são significativas, especialmente considerando a possibilidade de que esses métodos possam ser replicados em ambientes corporativos no Brasil.

O grupo de ransomware Qilin reivindicou um ataque cibernético ao Uvalde Consolidated Independent School District, ocorrido entre 15 e 18 de setembro de 2025. Durante o ataque, as escolas do distrito foram fechadas devido à interrupção de serviços essenciais, como telefonia, ar-condicionado e câmeras de segurança. Embora o distrito tenha afirmado que não houve acesso não autorizado a dados sensíveis, Qilin alegou ter roubado informações pessoais de funcionários e alunos, além de dados financeiros. Para corroborar sua afirmação, o grupo publicou imagens de documentos que afirmam ter sido extraídos dos servidores do distrito. Até o momento, o Uvalde CISD não confirmou a veracidade das alegações do grupo. O Qilin é um grupo de ransomware que opera um modelo de ransomware como serviço, permitindo que afiliados utilizem seu malware para realizar ataques. Em 2025, foram confirmados 106 ataques atribuídos ao Qilin, com o grupo já tendo atacado diversas instituições educacionais nos Estados Unidos. Os ataques de ransomware têm se tornado cada vez mais comuns no setor educacional, com 34 incidentes confirmados em 2025, impactando operações diárias e colocando em risco a segurança de dados de alunos e funcionários.

Desde julho de 2025, operadores do ransomware Akira têm explorado dispositivos SonicWall SSL VPN, utilizando uma vulnerabilidade conhecida (CVE-2024-40766) que afeta versões do SonicOS. Essa falha, que foi divulgada e corrigida em agosto de 2024, permite acesso inadequado e tem sido utilizada para comprometer redes empresariais em diversos setores. A campanha inclui técnicas avançadas de coleta de credenciais e exfiltração de dados, com um ataque documentado em agosto de 2025 que resultou na transferência de aproximadamente 2 GB de dados sensíveis. Os atacantes utilizaram métodos sofisticados, como a técnica ‘UnPAC the hash’, para escalar privilégios dentro da rede. A Darktrace, empresa de segurança, conseguiu conter o ataque, mas a exploração contínua da vulnerabilidade destaca a importância de práticas de gerenciamento de patches atualizadas, especialmente para dispositivos que oferecem acesso remoto. O incidente ressalta a necessidade de vigilância constante e resposta rápida a ameaças cibernéticas, especialmente em um cenário onde a segurança de dados é crítica.

Em julho de 2025, Coös County Family Health Services confirmou que 40.185 pessoas tiveram seus dados comprometidos em um ataque cibernético. O grupo de ransomware Run Some Wares reivindicou a responsabilidade pelo ataque em agosto. A investigação revelou que, em 9 de julho, houve acesso não autorizado aos servidores, onde dados sensíveis, como datas de nascimento, informações de contato, números de Seguro Social e dados médicos, podem ter sido visualizados ou copiados. Embora Coös County não tenha confirmado a natureza do ataque, a organização está oferecendo monitoramento de crédito gratuito por 12 meses aos afetados. Este incidente se insere em um contexto mais amplo, onde o setor de saúde dos EUA já registrou 63 ataques confirmados em 2025, resultando em mais de 6,2 milhões de registros expostos. O ataque em Coös County é um exemplo claro do impacto devastador que os ataques de ransomware podem ter sobre instituições de saúde, tanto em termos de tempo de inatividade quanto na violação de dados. A situação é alarmante, especialmente considerando que o setor de saúde é um alvo frequente para esses tipos de ataques.

Um relatório recente do Google Threat Intelligence Group (GTIG) e da Mandiant revelou que dezenas de organizações podem ter sido impactadas pela exploração de uma falha de segurança zero-day no software Oracle E-Business Suite (EBS), identificada como CVE-2025-61882, com uma pontuação CVSS de 9.8. Desde 9 de agosto de 2025, a atividade maliciosa, associada ao grupo de ransomware Cl0p, utilizou múltiplas vulnerabilidades para invadir redes-alvo e exfiltrar dados sensíveis. A campanha de ataques começou em 29 de setembro de 2025, com um envio em massa de e-mails fraudulentos a executivos de empresas, alegando que suas aplicações Oracle EBS haviam sido comprometidas. Os atacantes exigiam resgates em troca de não vazamento das informações roubadas. A Oracle já lançou patches para corrigir a vulnerabilidade. Os ataques foram realizados utilizando técnicas como Server-Side Request Forgery (SSRF) e injeção de código, permitindo a execução remota de comandos. A complexidade e o investimento na campanha indicam um planejamento cuidadoso por parte dos atacantes, que podem estar associados ao grupo FIN11, conhecido por suas táticas de extorsão.

Pesquisadores da Cisco Talos confirmaram que operadores de ransomware estão explorando a ferramenta de resposta a incidentes e forense digital (DFIR) Velociraptor em ataques cibernéticos sofisticados. A atividade foi atribuída ao grupo de ameaças Storm-2603, suspeito de operar a partir da China, que ganhou notoriedade por explorar vulnerabilidades do SharePoint. Em agosto de 2025, o grupo lançou um ataque que utilizou várias variantes de ransomware, como Warlock, LockBit e Babuk, para criptografar máquinas virtuais VMware ESXi e servidores Windows.

A Strategic Retail Partners (SRP) confirmou que notificou um número não revelado de pessoas sobre uma violação de dados ocorrida em fevereiro de 2025, que comprometeu informações pessoais sensíveis, incluindo números de Seguro Social, identificações emitidas pelo estado e informações financeiras. O ataque foi reivindicado pelo grupo de ransomware Medusa, que alegou ter roubado 1,35 TB de dados e exigiu um resgate de 1,2 milhão de dólares. Após uma segunda invasão em março, Medusa exigiu um resgate adicional de 1 milhão de dólares, afirmando que a SRP não havia melhorado sua segurança. A empresa ofereceu 12 meses de monitoramento de crédito gratuito para as vítimas. O ataque à SRP é o primeiro do grupo direcionado a uma empresa de varejo, que já havia atacado outras organizações em setores diversos. A pesquisa da Comparitech registrou 17 ataques confirmados de ransomware a varejistas nos EUA em 2025, comprometendo mais de 110 mil registros. Os ataques de ransomware podem causar interrupções significativas nas operações comerciais, além de expor dados pessoais a riscos de fraude.

Nos primeiros nove meses de 2025, foram registrados 293 ataques de ransomware em hospitais e clínicas, além de 130 ataques a empresas do setor de saúde, como fabricantes de produtos médicos e provedores de tecnologia. Embora os ataques a prestadores de serviços de saúde tenham se mantido estáveis em relação a 2024, os ataques a empresas do setor aumentaram em 30%. O aumento da conscientização sobre a ameaça de ransomware, impulsionado por ataques de alto perfil, pode ter levado as organizações a melhorar suas defesas. Além disso, as empresas de saúde lidam com múltiplos prestadores, o que aumenta a vulnerabilidade a ataques. Os dados revelam que 7,4 milhões de registros foram comprometidos em ataques confirmados, com um pedido médio de resgate de cerca de $514.000. Os principais grupos de ransomware identificados foram INC, Qilin e SafePay. Os Estados Unidos lideram em número de ataques, seguidos por Austrália, Alemanha e Reino Unido. O relatório destaca a necessidade urgente de ações de segurança cibernética no setor, especialmente em relação a fornecedores terceirizados, que representam um novo vetor de ataque.

No terceiro trimestre de 2025, a atividade de ransomware atingiu níveis recordes, impulsionada pelo anúncio da plataforma RaaS (Ransomware as a Service) da Scattered Spider e o retorno do LockBit com a versão 5.0, que agora visa explicitamente a infraestrutura crítica. O número de sites ativos de vazamento de dados subiu para 81, com novos grupos emergindo em diversas regiões e setores, apesar do número total de organizações listadas permanecer estável em relação ao segundo trimestre. A Scattered Spider, conhecida por suas táticas de engenharia social, está se preparando para lançar sua plataforma ShinySp1d3r, prometendo uma integração eficiente de exfiltração de dados e criptografia de arquivos. Por outro lado, o LockBit 5.0 permite que seus afiliados ataquem infraestrutura crítica, refletindo uma mudança significativa em sua estratégia após ações de aplicação da lei. O setor de saúde e serviços técnicos viu um aumento nas exposições, enquanto setores como manufatura e construção enfrentaram quedas. A combinação de táticas de extorsão dupla e ataques a sistemas operacionais industriais representa uma ameaça crescente, exigindo que as organizações adotem medidas rigorosas de segurança, como segmentação de rede e monitoramento de sites de vazamento.

Três grupos de ransomware, DragonForce, LockBit e Qilin, anunciaram uma nova aliança estratégica, destacando mudanças significativas no cenário de ameaças cibernéticas. Essa coalizão visa compartilhar técnicas, recursos e infraestrutura, aumentando a eficácia dos ataques. A parceria surge após o retorno do LockBit, que busca restaurar sua reputação após uma operação de repressão em 2024 que resultou na prisão de membros e na perda de infraestrutura. O grupo Qilin, que se tornou o mais ativo nos últimos meses, focou principalmente em organizações da América do Norte, com mais de 200 vítimas apenas no terceiro trimestre de 2025. A nova versão do LockBit, a 5.0, é capaz de atacar sistemas Windows, Linux e ESXi, o que pode aumentar o risco para setores críticos. Além disso, a aliança pode levar a um aumento nos ataques a infraestruturas críticas, ampliando a ameaça a setores antes considerados de baixo risco. O relatório também aponta um aumento nos ataques em países como Egito, Tailândia e Colômbia, sugerindo que os cibercriminosos estão se expandindo para evitar a repressão das autoridades. Com 1.429 incidentes de ransomware registrados no terceiro trimestre de 2025, a situação exige atenção redobrada das empresas, especialmente aquelas em setores vulneráveis.

Hackers estão explorando rapidamente bancos de dados expostos na nuvem e em SaaS utilizando técnicas “sem malware”, abusando de comandos legítimos e configurações inadequadas. As operações automatizadas evoluíram para campanhas de dupla extorsão, com MySQL e PostgreSQL sendo as plataformas mais visadas. Os ataques resultam na criação de notas de resgate em novas tabelas de banco de dados, pressionando as vítimas com ameaças de vazamento ou venda de dados roubados.

O grupo de ransomware Qilin reivindicou a responsabilidade por um ataque cibernético que resultou em uma violação de dados na Asahi Group Holdings, uma importante cervejaria japonesa. O incidente, que foi divulgado pela primeira vez em 29 de setembro de 2025, levou a empresa a suspender pedidos, remessas e serviços ao cliente. A Qilin afirma ter roubado 27 GB de arquivos, incluindo documentos financeiros, orçamentos, contratos e dados pessoais de funcionários. Embora a Asahi esteja investigando a extensão da violação, ainda não confirmou a veracidade das alegações da Qilin nem se pagará um resgate. O grupo Qilin, baseado na Rússia, é conhecido por suas táticas de phishing e opera um modelo de ransomware como serviço, permitindo que afiliados utilizem seu malware para realizar ataques. Este ataque é parte de uma tendência crescente de ataques de ransomware direcionados a fabricantes, que podem causar interrupções significativas nas operações e comprometer dados sensíveis. A Asahi, que possui marcas de cerveja globais, está enfrentando dificuldades operacionais devido a este incidente, que destaca a vulnerabilidade do setor a ataques cibernéticos.

Grupos de ransomware têm utilizado ferramentas de acesso remoto (RATs) legítimas, como AnyDesk e UltraViewer, para estabelecer pontos de acesso furtivos e evitar detecções. Ao abusar de versões gratuitas ou empresariais dessas ferramentas, os atacantes conseguem contornar controles de segurança tradicionais, aproveitando assinaturas digitais confiáveis e canais criptografados para manter a persistência e movimentar-se lateralmente na rede.

Após o acesso inicial, geralmente por meio de força bruta em RDP ou reutilização de credenciais, os operadores exploram serviços RAT pré-instalados. Técnicas como ‘sequestro’ de serviços e instalação silenciosa são comuns, permitindo que os atacantes evitem alertas de segurança. Uma vez que os serviços RAT estão ativos, eles escalam privilégios e manipulam políticas de segurança do Windows para excluir diretórios RAT de varreduras de antivírus.

O ransomware Yurei, identificado pela CYFIRMA em setembro de 2025, apresenta uma nova ameaça para ambientes Windows, utilizando técnicas sofisticadas de criptografia e anti-forense. Escrito em Go, o Yurei adiciona a extensão .Yurei a cada arquivo criptografado, utilizando uma chave/nonce única gerada pelo algoritmo ChaCha20. Antes de iniciar a criptografia, o malware executa comandos PowerShell para eliminar cópias de sombra e backups, dificultando a recuperação de dados. O Yurei se propaga furtivamente por drives removíveis e compartilhamentos SMB, copiando-se como WindowsUpdate.exe e System32_Backup.exe. Após a criptografia, uma nota de resgate é gerada, exigindo pagamento para a recuperação dos arquivos, com ameaças de divulgação de dados caso as exigências não sejam atendidas. A análise revela semelhanças com o projeto de ransomware Prince, mas com melhorias significativas em stealth e eficiência. Para mitigar os impactos do Yurei, as organizações devem implementar políticas de backup imutáveis, regras de EDR para detectar cabeçalhos de arquivos suspeitos e estabelecer planos de contenção rápidos.

O grupo de ransomware Cl0p está explorando uma vulnerabilidade crítica zero-day na Oracle E-Business Suite, identificada como CVE-2025-61882. Essa falha, localizada no componente de Integração do Business Intelligence Publisher, permite a execução remota de código sem autenticação, com uma pontuação máxima de 9.8 no CVSS, possibilitando a total comprometimento do sistema. A vulnerabilidade afeta versões amplamente utilizadas da Oracle EBS, entre 12.2.3 e 12.2.14, que são essenciais para operações empresariais como gestão de pedidos e finanças. A Oracle já lançou atualizações de segurança, mas as organizações precisam aplicar primeiro o Critical Patch Update de outubro de 2023. O Cl0p, ativo desde 2019, tem um histórico de exploração de zero-days e, nesta campanha, está focado na exfiltração de dados em vez da criptografia. As empresas devem realizar um inventário imediato dos endpoints expostos, confirmar a instalação das atualizações e monitorar logs e tráfego de rede para sinais de comprometimento. A situação é crítica, e a falta de ação pode resultar em sérias interrupções operacionais e vazamentos de dados.

A Microsoft identificou um grupo de cibercriminosos, denominado Storm-1175, como responsável pela exploração de uma vulnerabilidade crítica no software Fortra GoAnywhere, que permitiu a implantação do ransomware Medusa. A falha, classificada como CVE-2025-10035, possui um escore CVSS de 10.0 e é um bug de desserialização que pode resultar em injeção de comandos sem necessidade de autenticação. A vulnerabilidade foi corrigida nas versões 7.8.4 e 7.6.3 do software. Desde 11 de setembro de 2025, o grupo tem explorado aplicações expostas ao público para obter acesso inicial, com indícios de exploração ativa desde pelo menos 10 de setembro. A exploração bem-sucedida dessa vulnerabilidade pode permitir que os atacantes realizem descobertas de sistema e usuário, mantenham acesso a longo prazo e implantem ferramentas adicionais para movimentação lateral e malware. A cadeia de ataque inclui a instalação de ferramentas de monitoramento remoto, como SimpleHelp e MeshAgent, e a criação de arquivos .jsp nos diretórios do GoAnywhere MFT. A Microsoft também observou o uso de Rclone para exfiltração de dados em pelo menos um ambiente afetado. A situação levanta preocupações sobre a transparência da Fortra em relação à segurança de seus produtos.

O grupo de ransomware Qilin reivindicou a responsabilidade por uma violação de dados ocorrida em setembro de 2025 nas escolas públicas do Condado de Mecklenburg, na Virgínia. O incidente foi notificado aos pais em 2 de setembro, levando a uma interrupção significativa nas atividades escolares, com professores utilizando métodos tradicionais de ensino devido à falta de acesso à internet. Qilin afirma ter roubado 305 GB de dados, incluindo relatórios financeiros, orçamentos e registros médicos de crianças, e publicou amostras desses documentos em seu site de vazamento. O superintendente das escolas, Scott Worner, confirmou a autoria do ataque, mas ressaltou que a verificação do que foi comprometido depende da conclusão da investigação pelas autoridades e pela seguradora da escola. O grupo tem um histórico de ataques a instituições educacionais, tendo realizado 103 ataques confirmados em 2025 até o momento. Worner alertou outras escolas sobre a inevitabilidade de ataques cibernéticos, enfatizando a importância de manter a cobertura de cibersegurança atualizada. O ataque destaca a vulnerabilidade do setor educacional, que frequentemente enfrenta dificuldades em relatar violações de dados e pode sofrer interrupções significativas em suas operações diárias.

Um estudo recente da Veeam revelou que a eficácia do pagamento de resgates em ataques de ransomware está em declínio. Em 2024, apenas 32% das empresas que pagaram resgates conseguiram recuperar seus dados, uma queda significativa em relação aos 54% de 2023. Por outro lado, o número de organizações que conseguiram recuperar suas informações sem pagar o resgate mais que dobrou, passando de 14% para 30%. O aumento da frequência e da gravidade dos ataques de ransomware tem gerado perdas financeiras significativas, com custos de inatividade que podem chegar a £1 milhão por hora. Além disso, a pesquisa destaca que 63% das empresas não conseguem se recuperar de crises devido à falta de infraestrutura alternativa. O governo do Reino Unido também planeja proibir pagamentos de resgates por organizações do setor público e de infraestrutura crítica. A Veeam recomenda que as empresas invistam em sistemas de backup robustos e alternativas de infraestrutura para evitar a necessidade de pagar resgates, uma vez que os atacantes são considerados uma opção não confiável para a recuperação de dados.

Em 2025, os pesquisadores da Comparitech registraram 5.186 ataques de ransomware, um aumento de 36% em relação ao mesmo período do ano anterior. No terceiro trimestre, houve 1.517 ataques, com um crescimento de 6% em relação ao segundo trimestre. Embora os ataques a entidades governamentais e empresas de saúde tenham diminuído, os negócios, especialmente na indústria de manufatura, foram os mais atingidos, com um aumento de 11% nos ataques. Os grupos de ransomware mais ativos foram Qilin, Akira e INC, com Qilin liderando em ataques confirmados. O setor de saúde registrou 78 ataques, uma queda de 14%, enquanto o setor educacional manteve números semelhantes. O valor médio do resgate foi de $3,57 milhões, com o maior resgate exigido sendo de $15 milhões. Os ataques a fornecedores de tecnologia de terceiros também causaram grandes interrupções, destacando a necessidade de uma vigilância contínua e de medidas de segurança robustas. A crescente complexidade e o impacto dos ataques ressaltam a importância de uma resposta rápida e eficaz por parte das organizações.

O Google Mandiant e o Google Threat Intelligence Group (GTIG) estão monitorando uma nova atividade maliciosa possivelmente ligada ao grupo de cibercriminosos Cl0p, conhecido por suas motivações financeiras. Desde o dia 29 de setembro de 2025, executivos de diversas organizações têm recebido e-mails de extorsão, nos quais os criminosos alegam ter roubado dados sensíveis do Oracle E-Business Suite. Genevieve Stark, do GTIG, afirmou que a investigação ainda está em estágios iniciais e que as alegações do grupo não foram confirmadas. Charles Carmakal, CTO da Mandiant, descreveu a operação como uma “campanha de e-mail de alto volume” originada de contas comprometidas, algumas das quais estão ligadas ao grupo FIN11, que já atuava em ataques de ransomware desde 2020. Os e-mails maliciosos incluem informações de contato que foram verificadas como estando listadas no site de vazamento de dados do Cl0p, sugerindo uma associação com o grupo. Embora o Google não tenha evidências concretas para confirmar essas ligações, a similaridade nas táticas utilizadas em ataques anteriores do Cl0p levanta preocupações. A forma como os atacantes obtêm acesso inicial ainda não está clara, mas acredita-se que eles tenham comprometido e-mails de usuários e abusado da função de redefinição de senha do Oracle E-Business Suite. O grupo Cl0p é conhecido por explorar falhas em várias plataformas, comprometendo milhares de organizações nos últimos anos.

O jornalista Joe Tidy, correspondente da seção de cibersegurança da BBC, recebeu uma proposta inusitada de um hacker que se identificou como Syn. Ele ofereceu 15% dos lucros de um resgate obtido em um ataque de ransomware à BBC, caso Tidy liberasse o acesso à sua conta corporativa. O caso destaca uma vulnerabilidade pouco discutida: a utilização de agentes internos para facilitar invasões. A comunicação ocorreu via Signal, um aplicativo de mensagens seguras, e foi precedida por um incidente em que um funcionário de TI no Brasil vendeu seu login a cibercriminosos, resultando em uma invasão que custou R$ 500 milhões à empresa. Tidy, que apenas buscava entender o golpe, foi alvo de tentativas de login e notificações de autenticação de dois fatores, uma técnica conhecida como MFA bombing. Após relatar o incidente à equipe de segurança da BBC, ele teve seus acessos revogados. Os hackers, que já atacaram mais de 300 vítimas, tentaram convencer Tidy de que não seriam descobertos, mas acabaram desistindo após dias sem resposta. O caso evidencia a necessidade de discutir as ameaças internas nas organizações, que podem ser tão perigosas quanto as externas.

A Trend Micro identificou uma nova variante do ransomware LockBit, chamada LockBit 5.0, que se mostra significativamente mais perigosa do que suas versões anteriores. Lançado em setembro de 2025, o LockBit 5.0 apresenta uma interface aprimorada e capacidades furtivas inovadoras, além de uma encriptação mais rápida. Os pesquisadores observaram que o ransomware agora possui versões para Windows, Linux e ESXi, o que representa uma escalada crítica nas suas capacidades, especialmente na virtualização VMWare. O novo vírus permite que os atacantes escolham quais pastas encriptar ou ignorar e oferece modos de operação como “invisível” e “verbal”. Além disso, o LockBit 5.0 utiliza técnicas de evasão, como a substituição de APIs, dificultando a detecção pelo Windows. O grupo responsável pelo ransomware também implementou um sistema de suporte via chat para negociação de resgates, complicando ainda mais a recuperação dos dados para as vítimas. A nova versão mantém a geolocalização para evitar ataques em regiões onde a língua russa é detectada, o que demonstra uma evolução nas táticas do grupo criminoso. Com a continuidade das operações do LockBit, mesmo após ações de autoridades em 2024, a ameaça se torna cada vez mais relevante para empresas em todo o mundo, incluindo o Brasil.

O grupo de ransomware Qilin reivindicou a responsabilidade por um ataque cibernético ao Lakehaven Water & Sewer District, em Washington, ocorrido em 3 de setembro de 2025. O ataque resultou em uma interrupção significativa no sistema de pagamento de contas do distrito. Em 25 de setembro, Qilin publicou amostras de documentos internos supostamente roubados, mas o Lakehaven não confirmou a veracidade da reivindicação. A investigação sobre o incidente está em andamento, e o distrito informou que não haverá interrupções nos serviços de água e esgoto, apesar das dificuldades no processamento de pagamentos. Qilin, que opera um modelo de ransomware como serviço, já atacou 134 organizações, incluindo 28 entidades governamentais em 2025. Os ataques de ransomware a serviços públicos nos EUA têm se intensificado, com 63 incidentes confirmados até agora neste ano. O impacto desses ataques pode incluir roubo de dados e paralisação de sistemas, colocando em risco a segurança dos clientes e a continuidade dos serviços. O Lakehaven atende cerca de 112.000 pessoas na região.

O ransomware Akira está explorando a vulnerabilidade CVE-2024-40766 para acessar dispositivos VPN SSL da SonicWall, mesmo em contas que utilizam autenticação multifator (MFA). Pesquisadores de segurança, como os da Arctic Wolf Labs, relataram um aumento nos logins maliciosos em instâncias da SonicWall SSL VPN, sugerindo que os atacantes conseguiram comprometer as sementes de senhas de uso único (OTP), permitindo que contornassem as proteções de MFA. Apesar de a SonicWall ter lançado patches e recomendado a redefinição de credenciais, os ataques continuam a ocorrer. O Google identificou um grupo de ameaças, denominado UNC6148, que está utilizando credenciais e sementes de OTP roubadas em campanhas de ataque direcionadas a dispositivos SonicWall SMA 100, que estão fora de suporte. Isso levanta preocupações significativas sobre a eficácia das medidas de segurança implementadas, uma vez que os atacantes estão conseguindo autenticar-se em contas protegidas por MFA. A situação destaca a necessidade de vigilância contínua e de ações proativas para proteger as infraestruturas de TI contra essas ameaças emergentes.

A KNP Logistics, uma empresa britânica com 158 anos de história, faliu em junho de 2025 após ser vítima de um ataque de ransomware. O grupo Akira conseguiu acessar o sistema da empresa através de uma senha fraca de um funcionário que não utilizava autenticação em dois fatores. Os hackers apagaram todos os backups e sistemas de recuperação, exigindo um resgate de £5 milhões (cerca de R$ 35,6 milhões) para restaurar os dados. A KNP, que operava 500 caminhões e empregava 700 pessoas, não tinha recursos para pagar o resgate e, em poucas semanas, encerrou suas atividades, deixando os funcionários desempregados. Este incidente destaca a vulnerabilidade das empresas, mesmo as mais estabelecidas, a ataques cibernéticos, e a importância de implementar medidas de segurança robustas, como senhas fortes e autenticação multifatorial. Além disso, a falência da KNP Logistics ilustra o impacto devastador que um ataque cibernético pode ter não apenas na saúde financeira de uma empresa, mas também na comunidade que depende de seus serviços.

A nova versão 5.0 do ransomware LockBit representa um avanço significativo em suas operações de ransomware como serviço (RaaS). Pela primeira vez, o LockBit oferece binários totalmente suportados para Windows, diversas distribuições Linux e hipervisores VMware ESXi, permitindo que atacantes comprometam simultaneamente endpoints, servidores e hosts de virtualização. Essa capacidade de ataque multiplataforma reduz drasticamente o tempo de impacto, afetando tanto as camadas de produção quanto de virtualização. Após a desarticulação da infraestrutura do LockBit em fevereiro de 2024, seus afiliados rapidamente migraram para novos canais de comando e controle, demonstrando resiliência e inovação. A versão 5.0 introduz técnicas avançadas de evasão e criptografia, como execução em memória e rotinas de criptografia paralela, dificultando a resposta a incidentes e a recuperação baseada em backups. Para se proteger contra essa ameaça, as organizações devem adotar uma estratégia de defesa em profundidade, que inclua segmentação de rede, controles de acesso, proteção de endpoints e servidores, segurança de hipervisores e rigor na recuperação de dados.

Na última quarta-feira (25), a Agência Nacional de Crimes do Reino Unido (NCA) prendeu um homem de aproximadamente 40 anos, suspeito de estar envolvido na invasão aos sistemas da Collins Aerospace, que ocorreu na semana anterior. O ataque, identificado como ransomware, causou o cancelamento e atraso de voos em diversos aeroportos europeus, incluindo os de Bruxelas, Berlim, Cork, Dublin e Heathrow. O software MUSE, utilizado para unificar check-in e marcação de bagagens, foi diretamente afetado, resultando em perturbações significativas nas operações aéreas. O delegado-chefe Paul Foster destacou que, embora a prisão seja um passo positivo, a investigação ainda está em estágios iniciais e o cibercrime continua a ser uma ameaça global. Até o momento, não foram encontradas ligações com grupos hackers conhecidos. O homem foi liberado sob fiança condicional enquanto as investigações prosseguem.

As autoridades de Union County, Ohio, confirmaram um incidente de cibersegurança que afetou 45.487 pessoas devido a uma violação de dados ocorrida entre 6 e 18 de maio de 2025. O ataque, classificado como um sequestro de dados (ransomware), resultou no comprometimento de informações sensíveis, incluindo números de Seguro Social, dados de cartões de pagamento, informações financeiras, impressões digitais, dados médicos e números de identificação emitidos pelo estado, como carteiras de motorista e passaportes. Embora o grupo responsável pelo ataque ainda não tenha se manifestado publicamente, a investigação revelou que os criminosos acessaram a rede do condado durante um período de 12 dias. Union County está oferecendo monitoramento de identidade gratuito e um seguro contra roubo de identidade de até US$ 1 milhão para as vítimas afetadas, com prazo para inscrição até 31 de dezembro de 2025. Este incidente é um dos maiores vazamentos de dados de 2025, destacando a crescente ameaça de ataques de ransomware a entidades governamentais nos Estados Unidos, que já registraram 61 ataques confirmados até o momento, comprometendo mais de 431.000 registros.

O ransomware BQTLOCK, identificado recentemente, opera sob o modelo Ransomware-as-a-Service (RaaS) desde julho de 2025. Associado ao grupo hacktivista pro-Palestina Liwaa Mohammed, o malware utiliza uma metodologia de dupla extorsão, exigindo pagamentos que variam de 13 a 40 XMR (aproximadamente R$ 18.000 a R$ 54.000). Os atacantes impõem um prazo de 48 horas para que as vítimas entrem em contato, com a ameaça de dobrar o valor do resgate se não houver resposta. Após sete dias, as chaves de descriptografia são excluídas permanentemente, e os dados roubados são vendidos em um site controlado pelos criminosos.

O grupo de ransomware Qilin adicionou a cidade de Waxhaw, na Carolina do Norte, ao seu site de vazamento de dados após alegadamente roubar 619 GB de informações. Em um comunicado emitido em 14 de setembro de 2025, a cidade confirmou que sofreu um ataque cibernético na madrugada de 12 de setembro, que causou ‘irregularidades’ nos sistemas, mas garantiu que os serviços de emergência permaneceram operacionais. Embora a cidade tenha reconhecido que os criminosos conseguiram acessar alguns servidores, não houve confirmação de que dados pessoais foram comprometidos. O Qilin, que opera desde agosto de 2022 e já reivindicou 130 ataques confirmados, utiliza e-mails de phishing para disseminar seu ransomware. Este ataque é parte de uma onda crescente de ataques a organizações governamentais nos EUA, com 61 incidentes confirmados em 2025, destacando a vulnerabilidade do setor público a tais ameaças. A cidade de Waxhaw, que abriga cerca de 21.700 habitantes, continua suas operações normais, embora alguns serviços possam ser afetados.

O Madison Elementary School District 38, localizado em Phoenix, Arizona, notificou cerca de 35 mil pessoas sobre uma violação de dados resultante de um ataque de ransomware realizado pelo grupo Interlock em abril de 2025. O ataque, que ocorreu em 7 de abril, foi facilitado por engenharia social, onde um funcionário da escola foi enganado. Embora a escola não tenha especificado quais dados foram comprometidos, a oferta de serviços de proteção de identidade sugere que informações sensíveis, como números de Seguro Social e dados financeiros, podem estar envolvidas. O grupo Interlock, ativo desde outubro de 2024, já realizou 29 ataques confirmados, sendo nove deles em instituições educacionais nos EUA. O ataque à Madison é o segundo maior em termos de registros afetados, com mais de 150 mil registros comprometidos em ataques confirmados no setor educacional dos EUA em 2025. A escola contratou a Arete para investigar a extensão da violação, que custou mais de 21 mil dólares. Até o momento, não está claro se um resgate foi exigido ou pago.

O grupo de ransomware Rhysida reivindicou a responsabilidade por um incidente de segurança cibernética que afetou a Administração de Trânsito de Maryland (MTA) em agosto de 2025. O ataque resultou em acesso não autorizado aos sistemas da MTA, causando a perda de dados e interrupções nos serviços de paratransito. Rhysida exigiu um resgate de 30 bitcoins, equivalente a aproximadamente 3,4 milhões de dólares, e publicou imagens de documentos supostamente roubados, incluindo cartões de Seguro Social e passaportes. A MTA confirmou a perda de dados, mas não divulgou detalhes específicos devido à sensibilidade da investigação em andamento. Até o momento, não está claro quantas pessoas foram afetadas ou se o resgate será pago. Rhysida, que opera um modelo de ransomware como serviço, já realizou 91 ataques confirmados desde sua fundação em 2023, comprometendo cerca de 5,5 milhões de registros. Este incidente destaca a crescente ameaça de ataques de ransomware a entidades governamentais nos Estados Unidos, com 59 ataques confirmados em 2025, afetando mais de 386 mil registros.

As autoridades do Reino Unido prenderam um homem suspeito de ser o responsável por um ataque de ransomware que afetou operações em aeroportos europeus, incluindo o Heathrow, em Londres. A prisão ocorreu na terça-feira, em West Sussex, e o suspeito foi liberado sob fiança enquanto a investigação prossegue. O ataque, que atingiu os sistemas de manuseio de bagagens e check-in da Collins Aerospace, causou atrasos e cancelamentos de voos em aeroportos como Heathrow, Bruxelas, Dublin e Berlim. A empresa, que fornece software para várias companhias aéreas, teve que recorrer a processos manuais, resultando em grandes transtornos para os passageiros. O ataque foi confirmado como um caso de ransomware, onde arquivos críticos foram criptografados e um pagamento em criptomoeda foi exigido para a recuperação. A situação destaca a crescente vulnerabilidade do setor de aviação a ataques cibernéticos, com um aumento de 600% nos ataques contra entidades do setor no último ano. Especialistas pedem uma maior colaboração entre aeroportos, reguladores e fornecedores de software para mitigar riscos futuros.

O caso da KNP Logistics Group, que operou por 158 anos, ilustra a fragilidade da segurança cibernética em empresas, mesmo as mais estabelecidas. Em junho de 2025, a empresa foi alvo do grupo de ransomware Akira, que acessou seus sistemas ao adivinhar uma senha fraca de um funcionário. A falta de autenticação multifatorial (MFA) permitiu que os hackers se infiltrassem facilmente, criptografando dados críticos e destruindo backups, resultando em uma demanda de resgate de £5 milhões. Apesar de ter seguro contra ataques cibernéticos e conformidade com normas de TI, a KNP não conseguiu se recuperar e acabou entrando em administração, resultando na demissão de 700 funcionários. O incidente destaca a importância de políticas de senhas robustas e da implementação de MFA, além de um plano de recuperação de desastres eficaz. Com 19.000 empresas no Reino Unido atacadas por ransomware no último ano, a situação é alarmante e exige atenção urgente das organizações para evitar consequências devastadoras.

Recentemente, a Marks & Spencer (M&S), uma grande varejista do Reino Unido, sofreu um ataque de ransomware que paralisou seus sistemas internos e impediu que funcionários acessassem arquivos críticos. Este incidente destaca as falhas nas estratégias de backup das empresas, que poderiam ter evitado a criptografia ou exclusão de dados se os backups estivessem isolados. A HyperBUNKER, uma startup de Zagreb, propõe uma solução inovadora com seu cofre offline baseado em tecnologia de diodo, que cria um canal unidirecional para backups, mantendo-os desconectados de redes externas. Embora essa abordagem tenha se mostrado eficaz em ambientes militares e nucleares, sua implementação em empresas comuns levanta questões sobre custo e praticidade. A HyperBUNKER afirma que sua tecnologia evita vulnerabilidades associadas a protocolos de rede, mas a eficácia depende de manuseio cuidadoso e locais seguros. Apesar das promessas, a adoção de soluções de armazenamento offline pode ser vista como um ônus financeiro adicional para empresas que já utilizam múltiplas soluções de backup. As empresas devem avaliar se os custos e riscos de roubo físico superam os benefícios de proteção oferecidos por essa nova tecnologia.

O Zloader, também conhecido como Terdot, DELoader ou Silent Night, ressurgiu como um sofisticado trojan de acesso inicial, fornecendo aos operadores de ransomware uma forma discreta de invadir redes corporativas após quase dois anos de inatividade. Originado do código do trojan bancário Zeus em 2015, as novas versões 2.11.6.0 e 2.13.7.0 apresentam camadas de ofuscação aprimoradas e medidas anti-análise robustas, além de protocolos de rede refinados para evitar sistemas de detecção modernos.

O grupo de ransomware Kawa4096, que surgiu em junho de 2025, rapidamente ganhou notoriedade ao atacar multinacionais em diversos setores, incluindo finanças, educação e serviços, nos Estados Unidos e Japão. Diferente de outros grupos que se concentram em setores específicos, Kawa4096 não demonstra preferência industrial, o que aumenta seu alcance e potencial de dano. O grupo utiliza um modelo de dupla extorsão, onde os dados das vítimas são não apenas criptografados, mas também ameaçados de divulgação caso o resgate não seja pago.

No final de agosto de 2025, o escritório do Procurador Geral da Pensilvânia (PA AG) anunciou que sofreu um ataque de ransomware em 11 de agosto, que impediu o acesso de funcionários a e-mails arquivados, arquivos e sistemas internos. O grupo de ransomware Inc reivindicou a responsabilidade pelo ataque em 20 de setembro, alegando ter roubado 5,7 TB de dados, incluindo documentos do escritório. A PA AG não confirmou a reivindicação, mas afirmou que se recusou a pagar o resgate e notificou indivíduos cujas informações podem ter sido comprometidas. O Procurador Geral, Dave Sunday, declarou que a situação testou a equipe, mas que estão comprometidos em proteger os cidadãos da Pensilvânia. O ataque é parte de uma tendência crescente de ataques de ransomware a entidades governamentais, com 58 ataques confirmados em 2025, sendo 11 apenas em agosto. O grupo Inc, ativo desde julho de 2023, utiliza técnicas como phishing direcionado e exploração de vulnerabilidades conhecidas para realizar seus ataques, afetando setores como saúde, educação e governo.

O ransomware BlackLock, uma ameaça sofisticada que opera em múltiplas plataformas, foi identificado como um risco significativo para organizações que utilizam sistemas Windows, Linux e VMware ESXi. Desenvolvido na linguagem Go, BlackLock possui um design modular e um modelo de Ransomware-as-a-Service (RaaS), permitindo que seus operadores personalizem ataques de acordo com as necessidades. Desde sua primeira aparição em junho de 2024, o grupo por trás do ransomware, inicialmente chamado El Dorado, rebatizou-se como BlackLock em setembro do mesmo ano. O ransomware é capaz de criptografar arquivos em diferentes sistemas, utilizando rotinas avançadas de criptografia, como o algoritmo ChaCha20, e técnicas de troca de chaves como o ECDH para proteger os metadados. Após a criptografia, o BlackLock apaga cópias de sombra e limpa a lixeira para dificultar a recuperação dos dados. O grupo tem como alvo setores variados, incluindo instituições públicas, educação, transporte e manufatura, com operações registradas nos EUA, Coreia do Sul e Japão. Dada sua capacidade de afetar ambientes críticos, as equipes de segurança devem adotar estratégias rigorosas de backup e proteção de endpoints para mitigar os riscos associados a esse ransomware.

Duas prisões foram realizadas no Reino Unido, incluindo a de Thalha Jubair, de 19 anos, acusado de participar de uma operação de ransomware que resultou em mais de 115 milhões de dólares em pagamentos de resgate. O grupo Scattered Spider, do qual Jubair faz parte, é responsável por pelo menos 120 invasões em redes de computadores em todo o mundo, afetando 47 entidades nos Estados Unidos, incluindo empresas Fortune 500 e sistemas de infraestrutura crítica. Os ataques foram caracterizados pelo uso de técnicas de engenharia social para obter acesso não autorizado e criptografar sistemas, exigindo resgates substanciais para restaurar a funcionalidade. As autoridades destacaram a colaboração internacional entre agências de segurança, incluindo o FBI e a National Crime Agency do Reino Unido, que resultou na apreensão de mais de 36 milhões de dólares em criptomoedas ligadas aos ataques. Se condenado, Jubair pode enfrentar até 95 anos de prisão. Este caso ressalta a crescente ameaça de cibercriminosos e a necessidade de uma resposta coordenada entre países para combater o crime cibernético.

Duas prisões foram realizadas no Reino Unido em conexão com um ataque cibernético ao Transport for London (TfL) em agosto de 2024. Thalha Jubair, de 19 anos, e Owen Flowers, de 18, foram detidos pela National Crime Agency (NCA). Flowers já havia sido preso anteriormente, mas liberado sob fiança, e agora enfrenta novas acusações por ataques a empresas de saúde nos EUA. O ataque ao TfL causou grandes prejuízos financeiros e interrupções significativas, afetando a infraestrutura crítica do Reino Unido. Jubair, por sua vez, foi acusado de conspiração para fraudes cibernéticas e lavagem de dinheiro, com envolvimento em mais de 120 intrusões em redes e extorsão de 47 entidades nos EUA, resultando em pagamentos de resgate que totalizam mais de 115 milhões de dólares. As investigações revelaram que os hackers usaram técnicas de engenharia social para obter acesso não autorizado às redes, roubando e criptografando informações. O Departamento de Justiça dos EUA também apresentou queixas contra Jubair, que pode enfrentar até 95 anos de prisão se condenado. Este caso destaca o aumento das ameaças cibernéticas e a necessidade de vigilância constante por parte das autoridades e empresas.

O grupo de cibercrime ShinyHunters, conhecido por extorsões de dados em larga escala, ampliou suas táticas em 2025, incluindo phishing por voz habilitado por IA e compromissos na cadeia de suprimentos. Em colaboração com afiliados como Scattered Spider, o grupo está lançando campanhas sofisticadas de vishing contra plataformas de SSO em setores como varejo, aviação e telecomunicações, exfiltrando grandes conjuntos de dados de clientes e preparando o novo ransomware ‘shinysp1d3r’ para atacar ambientes VMware ESXi.

O grupo de ransomware Everest reivindicou a responsabilidade pelo roubo de aproximadamente 600.000 linhas de documentos internos da Bayerische Motoren Werke AG (BMW), um dos maiores incidentes de segurança no setor automotivo em 2025. Os arquivos comprometidos incluem relatórios de auditoria, especificações de engenharia, demonstrações financeiras e comunicações executivas confidenciais. A análise de especialistas em cibersegurança revelou que os atacantes obtiveram acesso inicial por meio de um ponto de acesso remoto (RDP) comprometido, utilizando credenciais fracas ou reutilizadas para se mover lateralmente na rede da BMW. A exfiltração dos dados foi automatizada, com arquivos criptografados enviados para um servidor de comando e controle. A situação é crítica, pois a divulgação dos documentos pode resultar em danos à reputação da BMW, além de riscos regulatórios e de propriedade intelectual. Especialistas recomendam a adoção de uma arquitetura de segurança de confiança zero, autenticação multifatorial rigorosa e avaliações de vulnerabilidade regulares. A BMW ainda não confirmou oficialmente o incidente, enquanto a pressão aumenta para proteger suas informações proprietárias.

Em agosto de 2025, o grupo de ransomware Qilin se destacou como o operador mais ativo, atacando 104 organizações, quase o dobro do segundo colocado, Akira, que atingiu 56 vítimas. Este aumento contínuo de incidentes de ransomware, que totalizou 467 globalmente, reflete uma tendência preocupante no cenário de cibersegurança. Desde abril, Qilin já reivindicou 398 vítimas, representando 18,4% dos ataques registrados. A eficácia do grupo é atribuída a incentivos robustos para afiliados e operações de ransomware como serviço, utilizando técnicas avançadas de evasão, como execução sem arquivos e exploração de credenciais fracas de RDP e VPN.

O Goshen Medical Center, Inc. iniciou a notificação de 456.385 pessoas sobre uma violação de dados resultante de um ataque cibernético que começou em fevereiro de 2025. O grupo de ransomware BianLian reivindicou a responsabilidade pelo ataque em março. A violação foi detectada em 4 de março, quando a instituição percebeu atividades suspeitas em sua rede. A investigação revelou que arquivos contendo informações sensíveis, como nomes, endereços, datas de nascimento, números de Seguro Social, números de carteira de motorista e números de registros médicos, podem ter sido acessados sem autorização desde 15 de fevereiro. Após o ataque, BianLian publicou os dados do centro médico em seu site de vazamento, alegando ter roubado registros pessoais e dados financeiros. Este incidente se torna o terceiro maior ataque de ransomware a uma empresa de saúde nos EUA em 2025, destacando a crescente ameaça de ataques cibernéticos no setor de saúde. O Goshen Medical Center, fundado em 1979, atende cerca de 53.000 pacientes em mais de 35 locais na Carolina do Norte.

A gangue de ransomware Qilin reivindicou a responsabilidade por um ataque ao governo local de Spartanburg County, na Carolina do Sul, que ocorreu em 8 de agosto de 2025. O ataque comprometeu os sistemas do condado e afetou arquivos de integração de pessoal, contendo informações de funcionários. Segundo a Qilin, foram roubados 390 GB de dados, incluindo informações pessoais de residentes, como nomes, endereços, números de telefone e dados bancários. Este é o terceiro incidente de violação de dados do condado desde 2018. Embora a Qilin afirme que a recuperação dos serviços é impossível e que uma grande quantidade de dados foi exposta publicamente, os oficiais do condado não confirmaram a extensão da violação. O condado já enfrentou outras violações, incluindo uma em abril de 2023 que afetou 8.575 pessoas. A Qilin, que opera um modelo de ransomware como serviço, tem como alvo principalmente organizações governamentais e utiliza e-mails de phishing para disseminar seu malware. Este ataque destaca a crescente ameaça de ransomware a entidades governamentais nos EUA e a necessidade de medidas de segurança robustas.

O HybridPetya é um novo tipo de ransomware que explora uma vulnerabilidade na Interface Unificada do Firmware Extensível (UEFI), permitindo que o malware tome controle do computador antes mesmo de sua inicialização completa. Identificado por pesquisadores da ESET, esse bootkit é o quarto a conseguir burlar as defesas do sistema operacional Windows, similar a vírus anteriores como Petya e NotPetya. Embora o HybridPetya ainda seja uma prova de conceito e não tenha sido amplamente disseminado, ele representa uma ameaça significativa, pois pode criptografar a Master File Table (MFT) dos discos rígidos, exigindo um resgate de US$ 1.000 em Bitcoin para a recuperação dos arquivos. A vulnerabilidade explorada, CVE-2024-7344, já foi corrigida pela Microsoft em atualizações recentes. Apesar de não estar ativo, especialistas alertam para a necessidade de monitoramento contínuo, dado o potencial de evolução de ameaças semelhantes. O impacto do NotPetya em 2017, que causou prejuízos de mais de R$ 50 bilhões globalmente, serve como um alerta sobre os riscos associados a esse novo ransomware.

No dia 8 de setembro de 2025, o grupo de ransomware KillSec assumiu a responsabilidade por um ataque sofisticado à MedicSolution+, uma plataforma de gestão de práticas médicas baseada em nuvem, amplamente utilizada por clínicas no Brasil. Os atacantes comprometeram buckets do AWS S3 que continham mais de 34 GB de registros de pacientes e ativos médicos, exfiltrando cerca de 95.000 arquivos, incluindo raios-X não editados, resultados de exames e fotos de menores. A análise da Resecurity revelou que a violação foi possível devido a endpoints de armazenamento em nuvem mal configurados, que não possuíam controles de acesso adequados e criptografia. O ataque destaca a vulnerabilidade das organizações de saúde que dependem de fornecedores de TI, pois clínicas que utilizam a MedicSolution+ agora enfrentam riscos de vazamento de dados. Após a violação, o KillSec publicou uma nota de resgate em seu site na rede TOR, ameaçando divulgar os registros médicos do Brasil caso não houvesse negociação. O incidente ressalta a necessidade urgente de auditoria nas configurações de ativos em nuvem e a implementação de políticas rigorosas de privilégio mínimo para proteger dados sensíveis de pacientes.

O grupo de ransomware BlackNevas, surgido no final de 2024, rapidamente se tornou uma ameaça significativa para empresas e infraestruturas críticas em todo o mundo. Diferente de muitos grupos que operam sob o modelo Ransomware-as-a-Service (RaaS), o BlackNevas realiza campanhas direcionadas com precisão devastadora. Com operações concentradas na região Ásia-Pacífico, especialmente no Japão, Coreia e Tailândia, o grupo também tem atacado países europeus como Reino Unido, Itália e Lituânia, além de regiões nos Estados Unidos, como Connecticut.