Extorsão

As ameaças cibernéticas estão se tornando cada vez mais sofisticadas, com atacantes utilizando engenharia social, manipulação impulsionada por IA e exploração de nuvem para comprometer sistemas antes considerados seguros. O relatório destaca como o Microsoft Teams tem sido utilizado por grupos de ameaças para extorsão e roubo financeiro, enfatizando a importância de fortalecer a proteção de identidade e a segurança dos endpoints. Além disso, uma nova campanha de malware utiliza arquivos de atalho (.LNK) maliciosos para implantar um dropper de PowerShell, demonstrando a eficácia de técnicas de evasão. O artigo também menciona uma campanha de desinformação apoiada por Israel, visando desestabilizar o Irã, e a investigação da França sobre a coleta de dados de voz da Siri pela Apple. Outro ponto crítico é o roubo de criptomoedas, com hackers norte-coreanos responsáveis por cerca de $2 bilhões em furtos em 2025, destacando a crescente dependência do regime de atividades cibernéticas para financiamento. O artigo conclui com a resistência de empresas de tecnologia à proposta de controle de chat da UE, que exigiria a varredura de comunicações criptografadas, levantando preocupações sobre privacidade e vigilância em massa.

Um novo grupo de hackers, denominado Crimson Collective, representa uma ameaça significativa à infraestrutura de nuvem, com foco especial em ambientes da Amazon Web Services (AWS). De acordo com a pesquisa da Rapid7, o grupo se especializa em operações de roubo de dados e extorsão, utilizando credenciais de acesso de longo prazo comprometidas e políticas IAM excessivamente permissivas para infiltrar sistemas corporativos.

Os ataques começam com a exploração de chaves de acesso AWS vazadas, frequentemente obtidas de repositórios expostos ou ambientes mal configurados. Utilizando a ferramenta TruffleHog, os atacantes localizam e validam credenciais utilizáveis. Uma vez dentro do sistema, eles estabelecem persistência e elevam privilégios, ganhando controle administrativo total sobre o ambiente da vítima.

Um novo site de vazamento foi lançado pelo grupo de hackers conhecido como Scattered Lapsus$ Hunters, visando a extorsão de empresas que utilizam a plataforma Salesforce. O site, hospedado na rede Tor, exige pagamentos de resgate em troca da remoção de dados roubados. A origem desse ataque remonta ao final de 2024, quando os hackers utilizaram táticas de engenharia social, como o vishing, para obter acesso a ambientes corporativos da Salesforce. Eles conseguiram comprometer a plataforma Salesloft, extraindo credenciais e chaves de acesso armazenadas em repositórios de código. Isso permitiu que os atacantes acessassem o ambiente de nuvem da Salesloft, coletando tokens OAuth que possibilitaram a movimentação lateral em sistemas integrados. O site de extorsão foi lançado em 3 de outubro de 2025, listando clientes afetados e a quantidade de dados roubados, com um prazo para pagamento até 10 de outubro. Embora a Salesforce tenha afirmado que sua plataforma principal não foi comprometida, a flexibilidade de integração da plataforma apresenta riscos significativos. Especialistas em segurança recomendam a implementação de controles rigorosos sobre permissões de API e a adoção de autenticação multifator para mitigar esses riscos.

Hackers estão explorando rapidamente bancos de dados expostos na nuvem e em SaaS utilizando técnicas “sem malware”, abusando de comandos legítimos e configurações inadequadas. As operações automatizadas evoluíram para campanhas de dupla extorsão, com MySQL e PostgreSQL sendo as plataformas mais visadas. Os ataques resultam na criação de notas de resgate em novas tabelas de banco de dados, pressionando as vítimas com ameaças de vazamento ou venda de dados roubados.

O Google Mandiant e o Google Threat Intelligence Group (GTIG) estão monitorando uma nova atividade maliciosa possivelmente ligada ao grupo de cibercriminosos Cl0p, conhecido por suas motivações financeiras. Desde o dia 29 de setembro de 2025, executivos de diversas organizações têm recebido e-mails de extorsão, nos quais os criminosos alegam ter roubado dados sensíveis do Oracle E-Business Suite. Genevieve Stark, do GTIG, afirmou que a investigação ainda está em estágios iniciais e que as alegações do grupo não foram confirmadas. Charles Carmakal, CTO da Mandiant, descreveu a operação como uma “campanha de e-mail de alto volume” originada de contas comprometidas, algumas das quais estão ligadas ao grupo FIN11, que já atuava em ataques de ransomware desde 2020. Os e-mails maliciosos incluem informações de contato que foram verificadas como estando listadas no site de vazamento de dados do Cl0p, sugerindo uma associação com o grupo. Embora o Google não tenha evidências concretas para confirmar essas ligações, a similaridade nas táticas utilizadas em ataques anteriores do Cl0p levanta preocupações. A forma como os atacantes obtêm acesso inicial ainda não está clara, mas acredita-se que eles tenham comprometido e-mails de usuários e abusado da função de redefinição de senha do Oracle E-Business Suite. O grupo Cl0p é conhecido por explorar falhas em várias plataformas, comprometendo milhares de organizações nos últimos anos.

O ransomware BQTLOCK, identificado recentemente, opera sob o modelo Ransomware-as-a-Service (RaaS) desde julho de 2025. Associado ao grupo hacktivista pro-Palestina Liwaa Mohammed, o malware utiliza uma metodologia de dupla extorsão, exigindo pagamentos que variam de 13 a 40 XMR (aproximadamente R$ 18.000 a R$ 54.000). Os atacantes impõem um prazo de 48 horas para que as vítimas entrem em contato, com a ameaça de dobrar o valor do resgate se não houver resposta. Após sete dias, as chaves de descriptografia são excluídas permanentemente, e os dados roubados são vendidos em um site controlado pelos criminosos.

O grupo de ransomware Kawa4096, que surgiu em junho de 2025, rapidamente ganhou notoriedade ao atacar multinacionais em diversos setores, incluindo finanças, educação e serviços, nos Estados Unidos e Japão. Diferente de outros grupos que se concentram em setores específicos, Kawa4096 não demonstra preferência industrial, o que aumenta seu alcance e potencial de dano. O grupo utiliza um modelo de dupla extorsão, onde os dados das vítimas são não apenas criptografados, mas também ameaçados de divulgação caso o resgate não seja pago.

O grupo de cibercrime ShinyHunters, conhecido por extorsões de dados em larga escala, ampliou suas táticas em 2025, incluindo phishing por voz habilitado por IA e compromissos na cadeia de suprimentos. Em colaboração com afiliados como Scattered Spider, o grupo está lançando campanhas sofisticadas de vishing contra plataformas de SSO em setores como varejo, aviação e telecomunicações, exfiltrando grandes conjuntos de dados de clientes e preparando o novo ransomware ‘shinysp1d3r’ para atacar ambientes VMware ESXi.

O grupo de ransomware Everest reivindicou a responsabilidade pelo roubo de aproximadamente 600.000 linhas de documentos internos da Bayerische Motoren Werke AG (BMW), um dos maiores incidentes de segurança no setor automotivo em 2025. Os arquivos comprometidos incluem relatórios de auditoria, especificações de engenharia, demonstrações financeiras e comunicações executivas confidenciais. A análise de especialistas em cibersegurança revelou que os atacantes obtiveram acesso inicial por meio de um ponto de acesso remoto (RDP) comprometido, utilizando credenciais fracas ou reutilizadas para se mover lateralmente na rede da BMW. A exfiltração dos dados foi automatizada, com arquivos criptografados enviados para um servidor de comando e controle. A situação é crítica, pois a divulgação dos documentos pode resultar em danos à reputação da BMW, além de riscos regulatórios e de propriedade intelectual. Especialistas recomendam a adoção de uma arquitetura de segurança de confiança zero, autenticação multifatorial rigorosa e avaliações de vulnerabilidade regulares. A BMW ainda não confirmou oficialmente o incidente, enquanto a pressão aumenta para proteger suas informações proprietárias.

O FBI emitiu um alerta sobre atividades de dois grupos hackers, UNC6040 e UNC6395, que atacaram plataformas Salesforce de várias empresas, incluindo Google e Cloudflare. Os ataques, que começaram no final de 2024, utilizam engenharia social e vishing, onde os golpistas se passam por suporte técnico para induzir funcionários a conectar aplicativos OAuth falsos. Isso resultou no vazamento de dados sensíveis e extorsão por parte do grupo ShinyHunters. O UNC6395, por sua vez, explorou brechas na atualização da plataforma Salesforce Drift, permitindo acesso a informações críticas, como senhas e tokens de autenticação. O FBI ainda investiga os responsáveis, mas o grupo ShinyHunters já reivindicou a autoria dos ataques, que também comprometeram sistemas do FBI. As empresas afetadas incluem gigantes como Adidas, Cisco e Palo Alto Networks, levantando preocupações sobre a segurança de dados e a conformidade com a LGPD no Brasil.

O grupo de ransomware BlackNevas, surgido no final de 2024, rapidamente se tornou uma ameaça significativa para empresas e infraestruturas críticas em todo o mundo. Diferente de muitos grupos que operam sob o modelo Ransomware-as-a-Service (RaaS), o BlackNevas realiza campanhas direcionadas com precisão devastadora. Com operações concentradas na região Ásia-Pacífico, especialmente no Japão, Coreia e Tailândia, o grupo também tem atacado países europeus como Reino Unido, Itália e Lituânia, além de regiões nos Estados Unidos, como Connecticut.

Uma nova variante de ransomware, chamada Yurei, foi identificada no cenário de cibercrime, com seu primeiro ataque registrado em 5 de setembro de 2025, visando uma empresa de alimentos no Sri Lanka. O grupo, que se expandiu rapidamente para vítimas na Índia e Nigéria, adota um modelo de dupla extorsão, criptografando dados e exfiltrando arquivos sensíveis para pressionar as vítimas durante as negociações de resgate.

Desenvolvido na linguagem Go, o ransomware Yurei se inspira no projeto open-source Prince-Ransomware, mas apresenta melhorias significativas, como o uso do modelo de concorrência do Go para acelerar a criptografia. Ele utiliza a cifra ChaCha20 para criptografar arquivos, gerando chaves únicas para cada um. No entanto, uma falha crítica herdada de seu predecessor é a não remoção das Cópias de Sombra de Volume, permitindo que as vítimas possam restaurar dados sem pagar o resgate.

O FBI emitiu um alerta sobre dois grupos cibercriminosos, UNC6040 e UNC6395, que têm realizado ataques de roubo de dados e extorsão, visando plataformas Salesforce. O grupo UNC6395 foi responsável por uma campanha de roubo de dados em agosto de 2025, explorando tokens OAuth comprometidos do aplicativo Salesloft Drift, que teve sua conta do GitHub violada entre março e junho de 2025. Em resposta, a Salesloft isolou sua infraestrutura e desativou o aplicativo. O grupo UNC6040, ativo desde outubro de 2024, tem utilizado campanhas de vishing para obter acesso inicial e roubar dados em larga escala, utilizando uma versão modificada do aplicativo Data Loader do Salesforce. Após as intrusões, o grupo também se envolveu em atividades de extorsão, que foram atribuídas a um outro grupo chamado UNC6240, que se identifica como ShinyHunters. Recentemente, houve uma união entre ShinyHunters, Scattered Spider e LAPSUS$, que anunciaram a suspensão de suas atividades, embora especialistas alertem que isso pode ser uma estratégia para evitar a atenção das autoridades. As organizações devem permanecer vigilantes, pois o silêncio de um grupo de ameaças não significa que o risco desapareceu.

O grupo de ransomware Dire Wolf, que surgiu em maio de 2025, rapidamente se tornou uma ameaça significativa à cibersegurança, atacando organizações em diversas indústrias e regiões. Desde seu primeiro ataque, que resultou na divulgação de seis vítimas em um site da darknet, o grupo tem utilizado uma estratégia de dupla extorsão, combinando a criptografia de dados com ameaças de vazamento de informações.

A técnica de criptografia do Dire Wolf é sofisticada, utilizando algoritmos como Curve25519 e ChaCha20, o que torna a recuperação de dados extremamente difícil. O ransomware não utiliza arquivos de configuração tradicionais, mas sim argumentos de linha de comando para controle, e implementa um sistema de mutex para evitar execuções múltiplas. Além disso, o malware apaga cópias de sombra e interrompe serviços essenciais, eliminando opções de recuperação.

O ransomware NightSpire, detectado pela primeira vez em fevereiro de 2025, rapidamente se tornou uma das principais ameaças cibernéticas para corporações globais. Utilizando um modelo de Ransomware-as-a-Service (RaaS), o grupo aperfeiçoou sua estratégia de dupla extorsão e métodos avançados de criptografia, afetando setores variados, como varejo, manufatura e serviços financeiros. NightSpire escolhe suas vítimas com base na exploração sistemática de vulnerabilidades em redes mal protegidas, frequentemente devido à falta de atualizações de segurança e falhas na gestão de credenciais. Após a infiltração, o ransomware criptografa arquivos e diretórios, interrompendo operações comerciais essenciais. As vítimas recebem notas de resgate e são pressionadas por meio de um site de vazamento dedicado, que também serve como plataforma de negociação. A técnica de criptografia do NightSpire é notável, utilizando chaves simétricas AES e RSA, o que dificulta a recuperação dos dados. A combinação de expertise técnica e guerra psicológica coloca o NightSpire na vanguarda da evolução do ransomware, exigindo que as empresas adotem defesas e planos de resposta a incidentes urgentes e sistemáticos.

Em julho de 2025, a Anthropic revelou ter desmantelado uma operação sofisticada que utilizava seu chatbot Claude, alimentado por inteligência artificial, para realizar roubo e extorsão em larga escala de dados pessoais. O ataque visou pelo menos 17 organizações, incluindo instituições de saúde, serviços de emergência e órgãos governamentais, com os criminosos ameaçando expor publicamente as informações roubadas para forçar o pagamento de resgates que ultrapassavam $500.000. Utilizando o Claude Code em uma plataforma Kali Linux, o ator desconhecido automatizou várias fases do ciclo de ataque, desde a coleta de credenciais até a penetração de redes. O uso de IA permitiu que o atacante tomasse decisões táticas e estratégicas, selecionando quais dados exfiltrar e elaborando demandas de extorsão personalizadas com base em análises financeiras. A Anthropic desenvolveu um classificador personalizado para detectar comportamentos semelhantes e compartilhou indicadores técnicos com parceiros estratégicos. O caso destaca como ferramentas de IA estão sendo mal utilizadas para facilitar operações cibernéticas complexas, tornando a defesa mais desafiadora.

Pesquisadores de cibersegurança identificaram uma nova variante do trojan bancário HOOK, que agora incorpora telas de sobreposição no estilo ransomware para extorquir vítimas. Essa variante é capaz de exibir uma tela de alerta em tela cheia, que apresenta uma mensagem alarmante de ‘AVISO’, juntamente com um endereço de carteira e um valor, ambos recuperados dinamicamente de um servidor de comando e controle (C2). O ataque é iniciado remotamente quando o comando ‘ransome’ é enviado pelo servidor C2, e o atacante pode remover a sobreposição com o comando ‘delete_ransome’.