O ransomware moderno utiliza criptografia híbrida: AES-256 ou ChaCha20 para cifrar os dados do arquivo (simétrica, rápida) e RSA-2048/4096 ou Curve25519 para proteger a chave AES (assimétrica). Cada arquivo recebe uma chave AES única, e todas as chaves AES são cifradas com a chave pública RSA do atacante.
Porém, o processo de criptografia raramente é perfeito. Versões antigas ou bugadas de famílias como Dharma, Stop/DJVU e Osiris utilizam geradores de números pseudo-aleatórios (PRNG) com seeds previsíveis, permitindo a reconstrução da chave. Em outros casos, o ransomware criptografa apenas os primeiros 512 KB a 1 MB de cada arquivo — deixando o restante intacto e recuperável por carving de setores.
Antes de criptografar, a maioria dos ransomwares modernos executa uma sequência de ações destrutivas: deleta as Shadow Copy Volumes (VSS) via vssadmin delete shadows /all /quiet, desativa o Windows Backup, corrompe o catálogo do Backup do Windows e muitas vezes remove pontos de restauração do sistema. A boa notícia: artefatos de VSS frequentemente permanecem no disco mesmo após a deleção lógica e podem ser recuperados com técnicas de carving de baixo nível.
Nossa equipe possui experiência documentada com as seguintes famílias, incluindo variantes modernas:
Análise da extensão adicionada aos arquivos, nota de resgate (ransom note), padrão do nome do arquivo criptografado e cabeçalhos binários para identificar a família exata. Utilizamos bases como ID Ransomware, assinaturas proprietárias e comparação de bytecode. A identificação precisa determina qual técnica de recuperação é viável.
Criamos uma imagem bit-a-bit do dispositivo afetado antes de qualquer operação. Isso preserva a evidência original e permite múltiplas tentativas sem risco adicional. Aplicamos nossa metodologia forense proprietária de imagem bit-a-bit com verificação de integridade via hash MD5/SHA-256 — garantindo que o original permanece intacto e qualquer tentativa de recuperação trabalha exclusivamente sobre a cópia.
Mesmo após a deleção pelo ransomware, artefatos de Volume Shadow Copy (VSS) frequentemente permanecem nos setores do disco. Utilizamos nosso próprio algoritmo de carving e análise hexadecimal para localizar artefatos remanescentes de VSS nos setores do disco — mesmo após a deleção lógica pelo ransomware. A MFT (Master File Table) é varrida com metodologia proprietária para reconstruir os metadados perdidos e identificar versões anteriores de arquivos ainda presentes nos setores físicos.
Para ransomwares que criptografam apenas parcialmente os arquivos, realizamos file carving baseado em magic bytes (assinaturas de formato). JPEGs têm header FF D8 FF, PDFs têm 25 50 44 46, documentos Office têm estrutura ZIP identificável. Arquivos com criptografia parcial podem ter 70–95% do conteúdo recuperável.
Para famílias com chaves públicas divulgadas (ex: GandCrab, Shade, Ziggy, Fonix, Avaddon, Darkside), utilizamos as chaves públicas disponibilizadas por autoridades internacionais para decriptação direta — sem depender de ferramentas de terceiros. Para famílias com PRNG fraco, utilizamos criptoanálise para reconstrução da seed e reversão da chave simétrica.
| Cenário | Taxa Estimada | Técnica Principal |
|---|---|---|
| Ransomware com chave pública divulgada | 95–100% | Chave pública disponível — decriptação direta |
| Criptografia parcial de arquivo (primeiros 512KB) | 70–90% | File carving + reconstrução de header |
| VSS / Shadow Copy parcialmente preservado | 60–85% | VSS carving em baixo nível |
| PRNG fraco / chave derivável (Stop/DJVU offline) | 40–70% | Criptoanálise + força bruta dirigida |
| LockBit 3.0 / BlackCat (criptografia full AES-256) | 30–60% | Carving + MFT + backups parciais |
| Disco sobrescrito após infecção + sem backup | 10–30% | Carving profundo em setores livres |
Ataques corporativos têm padrões específicos. O ransomware normalmente se propaga pela rede via SMB (porta 445), explora vulnerabilidades como EternalBlue (MS17-010), credenciais RDP expostas ou phishing com payload de loader (TrickBot, Emotet, QBot). Após comprometer um endpoint, realiza movimentação lateral até atingir servidores de arquivos, NAS e backups.
Dispositivos NAS como QNAP, Synology, Western Digital MyCloud e Netgear ReadyNAS são alvos frequentes de variantes específicas como eCh0raix, QNAPCrypt e DeadBolt. A estrutura de filesystem desses dispositivos (ext4, Btrfs, ZFS) permite técnicas de recuperação específicas que não se aplicam a NTFS.
Diagnóstico gratuito em até 2 horas. Cobrança somente com resultado confirmado. Não tome decisões sem antes falar com um especialista.
Sim, em muitos casos. A taxa de recuperação varia de 30% a 100% dependendo da família, variante e condições do disco. Famílias com chaves públicas divulgadas (GandCrab, Shade, Avaddon, etc.) têm recuperação próxima de 100%. Famílias com criptografia parcial ou VSS preservado também têm altas chances. O diagnóstico gratuito identifica o cenário exato.
Não recomendamos. Estatisticamente, 40% das vítimas que pagam não recebem a chave funcional. O pagamento financia grupos criminosos e não impede futuros ataques. Procure primeiro o diagnóstico técnico — muitas vezes a recuperação sem pagamento é viável e mais rápida que negociar com o atacante.
1) Isolar o equipamento da rede imediatamente (desconectar cabo e WiFi). 2) Não reiniciar ou desligar o computador — dados em memória RAM podem conter a chave de criptografia. 3) Não executar antivírus que pode sobrescrever setores. 4) Fotografar a tela com a nota de resgate. 5) Entrar em contato conosco para diagnóstico. O tempo importa: quanto mais rápido agir, maiores as chances de recuperação.
O diagnóstico inicial é entregue em até 2 horas após o envio do equipamento ou acesso remoto. O processo de recuperação varia de 24 horas (casos simples com decryptor disponível) a 7–10 dias (casos complexos com carving em servidores de múltiplos TBs). Casos urgentes com SLA de 24h estão disponíveis para ambientes corporativos.
A identificação pode ser feita pela extensão adicionada aos arquivos (ex: .lockbit, .alphv, .cezar), pelo nome e conteúdo da nota de resgate (README.txt, HELP_DECRYPT.html, etc.) e pelos cabeçalhos binários dos arquivos criptografados. Envie-nos um arquivo afetado e a nota de resgate para identificação gratuita em menos de 30 minutos.
.lockbit / hash aleatórioAES-256-CBC + RSA-2048Restore-My-Files.txtO LockBit 3.0 (também chamado LockBit Black) representa a evolução mais sofisticada do grupo RaaS homônimo. Baseado parcialmente no código vazado do BlackMatter, implementa criptografia multithreaded para maximizar velocidade — criptografando apenas os primeiros 4KB de cada arquivo acima de 4KB de tamanho. Isso significa que arquivos maiores têm a maior parte do conteúdo intacto e potencialmente recuperável por carving.
O LockBit usa o VSS Snapshots via COM objects (IVssBackupComponents) — uma técnica que contorna alguns EDRs que monitoram vssadmin.exe. Também desativa o Windows Defender via Group Policy Objects. Nossa taxa de recuperação para LockBit 3.0 é de 35–60% dependendo do perfil de criptografia parcial.
.alphv / string aleatóriaRust (cross-platform)Windows, Linux, VMware ESXiO BlackCat/ALPHV é o primeiro ransomware profissional escrito em Rust, tornando-o multiplataforma por design — ataca Windows, Linux e diretamente instâncias VMware ESXi. Usa ChaCha20 + RSA-4096 para criptografia, com uma chave simétrica por sessão. Permite configuração granular: quais extensões criptografar, quais diretórios pular, velocidade de criptografia. Nossa recuperação foca em servidores ESXi afetados, onde frequentemente há artefatos recuperáveis no datastore VMFS.
.cezar .bip .java .adobe .comRDP exposto (porta 3389)50–75%Dharma é uma das famílias mais antigas e prolíficas, responsável por milhares de ataques a PMEs via RDP. Usa AES-256 para dados e RSA para proteger a chave. Diversas variantes do Dharma foram quebradas ao longo dos anos — em particular, versões de 2016-2018 têm decryptors públicos disponíveis. Para variantes mais novas sem decryptor, aplicamos técnicas de carving de setores e análise de VSS remanescente.
.djvu .stop .rumba .725Software pirata / crackChave única por varianteO Stop/DJVU é a família de ransomware mais disseminada em usuários domésticos, distribuída principalmente via software pirata e ferramentas de ativação (KMSPico, activators). Um detalhe técnico crítico: quando o Stop/DJVU não consegue se conectar ao servidor C2 para obter a chave online, usa uma chave offline estática hardcoded — a mesma para todas as vítimas da mesma variante. Isso permite que nossa equipe derive a chave offline e realize a decriptação com 100% de taxa de recuperação nesta variante. Verificamos o modo de operação durante o diagnóstico.
Prontuários eletrônicos, PACS/RIS de imagens médicas, sistemas de prescrição. Alta criticidade — atendemos hospitais e clínicas com SLA de 4 horas.
ERPs industriais (SAP, TOTVS), sistemas de controle de produção, servidores de engenharia com arquivos CAD/CAM. Recuperação sem interromper a linha de produção.
Escritórios de advocacia com petições, contratos e processos sigilosos. Trabalho com cadeias de custódia e confidencialidade total. NDA disponível.
Contabilidades, escritórios de contabilidade, corretoras e fintechs. Dados fiscais, SPED, NFe, CNPJ. Cumprimento de prazos da Receita Federal.
Instituições de ensino com dados de alunos, sistemas acadêmicos (SIE, Lyceum, TOTVS RM) e servidores de e-learning. Atendimento com desconto para instituições públicas.
Projetos arquitetônicos (AutoCAD, Revit, ArchiCAD), orçamentos, plantas. Arquivos grandes com vários GBs por projeto — carving especializado por formato.
A regra 3-2-1-1 é o padrão atual de proteção contra ransomware: 3 cópias dos dados, em 2 mídias diferentes, 1 offsite e 1 offline (air-gapped). O ransomware moderno busca ativamente conexões de rede para criptografar backups acessíveis — backups conectados ou em rede mapeada são tão vulneráveis quanto o dado original.
Vetor número 1 em ataques corporativos no Brasil. Credenciais fracas ou vazadas em RDP exposto permitem acesso direto ao servidor. Atacantes compram acesso em fóruns como Genesis Market e Russian Market por valores de $50 a $10.000 dependendo do alvo.
Email com anexo malicioso (macro Office, ISO, ZIP com LNK) instala um loader (Emotet, QBot, IcedID) que depois baixa um stager Cobalt Strike ou Metasploit. O grupo então opera manualmente por dias/semanas antes de acionar o ransomware.
CVEs críticas exploradas em appliances VPN (Fortinet, Pulse Secure, Citrix), servidores web (Exchange ProxyShell/ProxyLogon), e ferramentas de gestão (Kaseya VSA - REvil, MoveIT Transfer - Cl0p). Exploração ocorre horas após publicação do CVE.
Comprometimento de provedores de serviços gerenciados (MSPs) permite atingir múltiplas empresas clientes simultaneamente. O ataque ao Kaseya VSA em 2021 atingiu mais de 1.500 empresas via um único MSP comprometido.
O atacante (humano ou bot) realiza varredura de portas, identifica RDP/VPN expostos, coleta credenciais em dumps de breaches anteriores. Nenhum malware está instalado ainda — apenas reconhecimento passivo de OSINT e scanning.
Login via RDP com credencial comprada ou obtida por brute force. Instalação de ferramentas de persistência (tarefas agendadas, chaves de registro, backdoor via RMM legítimo). Elevação de privilégio — normalmente via PrintNightmare, token impersonation ou exploração de credencial de admin local reutilizada.
Com acesso ao domínio, o atacante usa BloodHound/SharpHound para mapear o AD, identifica contas de alto privilégio, servidores de backup e servidores de arquivos. Usa ferramentas como Cobalt Strike, Mimikatz (dump de credenciais LSASS) e PsExec para se mover lateralmente. Objetivo: domínio AD e acesso a backups.
Exfiltração de dados para C2 (dupla extorsão). Deleção de VSS (vssadmin delete shadows /all), desativação de Windows Backup, desativação/desinstalação de antivírus via GPO ou scripts. Deploy do payload de ransomware em todos os servidores via PsExec, WMI ou GPO.
O ransomware é executado simultaneamente em múltiplos servidores. Criptografia multithreaded pode cifrar TBs em 1-4 horas. Arquivos ganham nova extensão, nota de resgate é criada em cada diretório. Sistemas críticos param. Este é o momento em que os usuários descobrem o ataque.
Isolar a rede, preservar evidências, não reiniciar máquinas, não executar antivírus que sobrescreve dados. Diagnóstico gratuito em até 2 horas. Quanto mais rápido agir, maiores as chances de recuperação — especialmente se artefatos de VSS ainda estiverem na memória ou em setores não sobrescritos.
Um ataque de ransomware que resulte em acesso não autorizado a dados pessoais é um incidente de segurança sujeito às obrigações da Lei Geral de Proteção de Dados (LGPD — Lei 13.709/2018). Os prazos e obrigações incluem:
| Obrigação | Prazo | Destinatário |
|---|---|---|
| Comunicar incidente que possa acarretar risco ou dano | 72 horas | ANPD + titulares afetados |
| Relatório completo do incidente | Complementar | ANPD (mediante solicitação) |
| Medidas de mitigação e prevenção de danos | Imediato | Controlador obrigado a implementar |
O laudo técnico de recuperação emitido pela Crowdertech documenta o escopo do incidente, os dados afetados, as medidas tomadas e o resultado — servindo como evidência técnica para a comunicação à ANPD e para eventual acionamento do seguro cibernético.
Antes de o ransomware ser executado, há sinais que indicam que um atacante está na rede. Monitorar estes IoCs pode permitir interrupção do ataque antes da criptografia:
mimikatz.exe ou mimi.execobalt strike beacon em memóriavssadmin.exe com parâmetros de deleçãowmic.exe shadowcopy deletebcdedit.exe /set recoveryenabled noHKLM\Run incomunsO seguro cibernético (cyber insurance) tem crescido no Brasil após o aumento de ataques a empresas. Coberturas típicas incluem:
Nossa equipe emite laudos técnicos forenses nos padrões exigidos pelas seguradoras, documentando a causa raiz, o escopo do comprometimento, os dados afetados e as medidas de recuperação adotadas. Este laudo é frequentemente obrigatório para acionar a cobertura da apólice.
Compilamos as dúvidas mais frequentes de gestores de TI, diretores e proprietários de empresas que enfrentaram ataques:
O diagnóstico inicial é concluído em até 2 horas após o recebimento do equipamento ou acesso remoto. O processo de recuperação varia: famílias com decryptor disponível (GandCrab, Avaddon, Shade) levam de 24 a 48 horas. Casos que exigem carving em servidores de múltiplos TBs podem levar de 5 a 15 dias úteis. Para ambientes corporativos críticos, oferecemos SLA de 24 horas com equipe dedicada.
Sim. Servidores de arquivos Windows (File Server) são um dos cenários mais comuns que atendemos. Trabalhamos diretamente nos discos do servidor, analisamos artefatos de Volume Shadow Copy (VSS), realizamos carving no filesystem NTFS e extraímos dados de setores não sobrescritos. A taxa de recuperação depende da família de ransomware e do tempo decorrido desde o ataque.
Sim, temos ampla experiência com recuperação em NAS. QNAP afetado pelo eCh0raix e QNAPCrypt, Synology com DeadBolt e eCh0raix, Western Digital com WannaCry e derivados. O filesystem ext4 e Btrfs desses dispositivos tem características específicas que permitem recuperação via análise de journal e snapshot. Em muitos casos, o Btrfs do Synology mantém subvolumes anteriores ao ataque.
Sim. Para clientes fora de São Paulo, realizamos atendimento remoto (acesso SSH/TeamViewer para diagnóstico inicial sem risco) ou recebemos discos e dispositivos via Sedex ou transportadora. Embalagem adequada é essencial — disponibilizamos orientações sobre como embalar HDDs e SSDs com segurança. Para servidores, oferecemos atendimento presencial em todo o território nacional para casos críticos.
A dupla extorsão (double extortion) é a prática de grupos como LockBit, BlackCat e Conti de exfiltrar os dados ANTES de criptografá-los. O atacante então ameaça publicar os dados em sites da dark web caso o resgate não seja pago — independentemente de você recuperar os dados. Nossa recuperação técnica resolve a parte da criptografia; para a parte da exfiltração, recomendamos consultoria jurídica especializada e notificação à ANPD conforme a LGPD.
ERPs como SAP, TOTVS Protheus e Senior armazenam dados em bancos SQL Server ou Oracle. Nossa abordagem é dupla: recuperar os dados do banco corrompido (MDF/LDF ou datafiles Oracle) E os arquivos de configuração e relatórios do ERP. Temos experiência documentada com recuperação de ambientes TOTVS Protheus em SQL Server em modo suspect após ransomware, com restauração completa da operação fiscal.
Não. A Crowdertech opera no modelo "no data, no charge" — cobrança somente após resultado confirmado. O diagnóstico inicial (identificação da família, avaliação de recuperabilidade e estimativa de dados recuperáveis) é 100% gratuito e sem compromisso. O orçamento é emitido somente após confirmação de viabilidade, e a cobrança ocorre somente após a entrega dos dados recuperados e validação pelo cliente.
Profissionais de segurança e TI utilizam termos específicos ao descrever ataques e recuperação. A Crowdertech atua nestes contextos técnicos:
Atendimento 24h · Diagnóstico gratuito em 2 horas · Cobrança somente após resultado
Diagnóstico gratuito. Resposta em até 2 horas. Cobrança somente com resultado confirmado. Não tome decisões sem antes falar com um especialista.