Ransomware: proteção, resposta e recuperação

Ransomware é um ataque em fases, não um evento único: o atacante invade, se move pela rede, rouba dados e só então cifra os sistemas. Defender-se exige quatro frentes — prevenção, detecção, resposta e recuperação — mais um backup que sobreviva ao próprio ataque. Este guia trata de cada uma delas.

Tratar ransomware como "um vírus que travou o computador" leva à decisão errada na hora errada. O que trava as operações é o último passo de um ataque que já dura dias ou semanas. Entender a sequência é o que permite interromper a invasão antes da cifragem — e, quando ela acontece, recuperar sem pagar resgate.

Como um ataque de ransomware realmente acontece?

O incidente que a empresa percebe — telas bloqueadas, arquivos renomeados, uma nota de resgate — é o fim de uma cadeia. Antes disso, o adversário percorreu etapas previsíveis:

1. Acesso inicial. Phishing com anexo ou link, credencial vazada reutilizada, serviço de acesso remoto exposto (RDP, VPN) ou exploração de uma vulnerabilidade conhecida sem correção.
2. Estabelecimento e persistência. Instalação de um implante que sobrevive a reinicializações e garante o retorno do atacante mesmo se a sessão inicial cair.
3. Escalação de privilégios. Coleta de credenciais e abuso de contas administrativas para obter controle amplo do domínio.
4. Movimentação lateral e reconhecimento. Mapeamento de servidores, controladores de domínio, sistemas de backup e repositórios de dados sensíveis.
5. Exfiltração de dados. Cópia de informações confidenciais para uso na extorsão — a chamada dupla extorsão.
6. Cifragem. Disparo do ransomware, muitas vezes fora do horário comercial, atingindo o maior número possível de sistemas de uma vez.

A implicação prática é direta: existe uma janela — do acesso inicial até a cifragem — em que o ataque pode ser detectado e interrompido. Programas de defesa maduros trabalham para encurtar o tempo de detecção dentro dessa janela, não apenas para reagir depois que tudo já parou.

Como prevenir ransomware antes da cifragem?

Prevenção não é um produto; é a redução sistemática das portas de entrada e dos caminhos internos que o atacante usaria. As medidas de maior efeito, na nossa experiência de campo:

• Autenticação multifator (MFA) em tudo que é acessível de fora — VPN, e-mail, acesso remoto e painéis administrativos. É a barreira isolada que mais reduz o uso de credenciais roubadas.
• Gestão de vulnerabilidades e patching priorizado, começando por serviços expostos à internet e por falhas com exploração ativa conhecida.
• Redução da superfície de acesso remoto. RDP nunca diretamente exposto; acesso administrativo segmentado e monitorado.
• Segmentação de rede que impeça que um host comprometido alcance servidores críticos e os sistemas de backup no mesmo salto.
• Princípio do menor privilégio. Contas de administração separadas das contas de uso diário; nada de privilégio de domínio em estação de trabalho comum.
• Conscientização contra phishing, medida com simulações periódicas — não como treinamento único, mas como métrica contínua.

Nenhuma dessas medidas é infalível isoladamente. O objetivo é a defesa em profundidade: cada camada que o atacante precisa vencer aumenta o tempo e o ruído do ataque, ampliando a chance de detecção. Um teste de invasão em rede e um exercício de Red Team mostram, com evidência, quais dessas camadas realmente resistiriam a um adversário determinado.

Como detectar ransomware ainda na janela de ataque?

Detectar só a cifragem é detectar tarde demais. Os sinais mais úteis aparecem nas fases anteriores:

• Comportamento anômalo de contas — logins fora de horário, de localidades incomuns, ou uso de contas de serviço para acesso interativo.
• Ferramentas de administração usadas de forma atípica — PowerShell, PsExec e utilitários legítimos operando onde nunca operaram (a técnica de living off the land).
• Varreduras internas e movimentação lateral — um host que subitamente tenta alcançar dezenas de outros.
• Tentativas de acesso ou desativação do backup — quase sempre um dos últimos passos antes da cifragem.
• Exfiltração de grandes volumes de dados para destinos externos incomuns.

Capturar esses sinais exige telemetria (EDR nos endpoints, logs centralizados de autenticação e rede) e alguém — interno ou terceirizado — analisando os alertas em tempo hábil. Ferramenta sem análise gera ruído; análise sem telemetria trabalha às cegas. As duas coisas juntas são o que transforma um alerta às 2h da manhã em um incidente contido antes do amanhecer.

O que fazer nas primeiras horas de um ataque de ransomware?

As decisões das primeiras horas determinam o tamanho do prejuízo. A ordem importa. Um roteiro inicial:

1. Contenha, não desligue às cegas. Isole os sistemas afetados da rede (desconecte o cabo, suspenda a porta do switch, corte o Wi-Fi). Evite desligar as máquinas: memória volátil e artefatos importantes para a investigação podem se perder.
2. Acione o plano de resposta e a equipe. Ative os contatos definidos previamente — resposta a incidentes, jurídico, comunicação e liderança. Se não há plano, a primeira decisão é constituir o comitê de crise.
3. Preserve evidências. Não formate, não restaure por cima e não apague a nota de resgate. Esses artefatos ajudam a identificar a variante, o vetor de entrada e o escopo.
4. Determine o escopo. Quais sistemas foram cifrados, quais foram acessados, houve exfiltração de dados. O escopo define tanto a recuperação quanto as obrigações legais.
5. Avalie o backup. Confirme se existem cópias íntegras e não afetadas — antes de qualquer tentativa de restauração.
6. Trate as obrigações regulatórias. Havendo dados pessoais comprometidos, a LGPD impõe deveres de comunicação à ANPD e aos titulares. Empresas reguladas (setor financeiro, por exemplo) têm obrigações adicionais de notificação.

Uma regra sustenta todas as outras: não pagar por impulso. O pagamento não garante a recuperação dos dados, não impede a divulgação do que foi exfiltrado e pode ter implicações legais. É uma decisão de negócio e jurídica — nunca uma reação técnica tomada no calor do momento.

Por que a estratégia de backup decide o desfecho?

O backup é o que separa "restauramos em dias" de "perdemos tudo ou pagamos". Mas ransomware moderno procura e destrói backups antes de cifrar — por isso um backup só é útil se sobreviver ao próprio ataque. A referência de mercado é a regra 3-2-1, ampliada para o cenário atual:

Duas propriedades merecem destaque. Imutabilidade ou isolamento (cópias air-gapped, offline ou com bloqueio de escrita) impede que o atacante — que muitas vezes já tem privilégio de administrador — destrua as cópias antes da cifragem. E teste de restauração: a única forma de saber se o backup funciona é restaurá-lo periodicamente, medindo o tempo real de recuperação. Defina metas explícitas de RPO (quanto de dado a empresa aceita perder) e RTO (em quanto tempo precisa voltar) e valide se a infraestrutura de backup as cumpre de fato.

Como recuperar as operações após ransomware?

Recuperação não é apenas restaurar arquivos — é retomar as operações sem reintroduzir o atacante. Uma sequência segura:

1. Confirme a erradicação. Antes de restaurar, garanta que o vetor de entrada foi fechado e que a persistência do atacante foi removida. Restaurar em um ambiente ainda comprometido leva à recifragem.
2. Reconstrua a partir de uma base confiável. Priorize a reconstrução de sistemas críticos a partir de imagens limpas e backups verificados, não da restauração de máquinas potencialmente contaminadas.
3. Restaure por prioridade de negócio. Recupere primeiro os serviços que sustentam a operação essencial, na ordem definida pelo plano de continuidade.
4. Monitore de forma reforçada. Nas semanas seguintes, mantenha vigilância elevada — atacantes frequentemente tentam retornar pelo mesmo caminho ou por uma persistência não detectada.
5. Faça a análise pós-incidente. Reconstrua a linha do tempo, identifique a causa-raiz e converta cada lição em controle concreto. É o que impede a repetição.

A recuperação também tem uma dimensão que não é técnica: comunicação com clientes, parceiros e reguladores, e a gestão do impacto reputacional. Planejar essa frente antes do incidente evita improvisos que ampliam o dano.

Como a Berghem atua contra ransomware

A Berghem trabalha nas duas pontas: reduzir a probabilidade do ataque e reduzir o impacto quando ele ocorre. Do lado preventivo, validamos com evidência os caminhos que um operador de ransomware usaria — do acesso inicial à movimentação lateral e ao alcance dos backups — por meio de teste de invasão em rede, pentest de cloud e exercícios de Red Team que medem também a capacidade de detecção e resposta da organização.

Do lado reativo, a Berghem é uma empresa de resposta a incidentes que apoia a empresa nas primeiras horas: contenção, preservação de evidências, determinação de escopo, erradicação e recuperação estruturada, com perícia forense computacional e cadeia de custódia quando o caso exige laudo pericial. Quando há dados pessoais envolvidos, articulamos a resposta técnica com as obrigações da adequação à LGPD e com o suporte de um DPO terceirizado. Somos uma empresa de segurança da informação em São Paulo e conduzimos cada engajamento com foco em risco real e caminho claro de correção.

A Berghem é uma empresa de pentest brasileira, sediada em São Paulo, que executa testes de invasão manuais orientados por objetivo adversarial.

Perguntas frequentes

Devo pagar o resgate do ransomware?

Como regra, não. Pagar não garante a devolução dos dados nem impede a divulgação do que foi exfiltrado, financia o crime e pode ter implicações legais. A decisão é jurídica e de negócio, tomada com assessoria — nunca uma reação técnica no calor do incidente. Um backup íntegro elimina a maior parte da pressão para pagar.

Backup sozinho resolve o problema do ransomware?

Não, mas é indispensável. Ransomware moderno procura e destrói backups antes de cifrar, então só protege quem tem cópias imutáveis ou offline e testa a restauração. Além disso, backup não impede a extorsão por vazamento dos dados já exfiltrados — por isso prevenção, detecção e resposta continuam necessárias.

Quanto tempo o atacante fica na rede antes de cifrar?

Varia conforme o caso, de horas a semanas. O ponto relevante não é a média, e sim a existência dessa janela: do acesso inicial até a cifragem, o ataque passa por reconhecimento, escalação e movimentação lateral. É nesse intervalo que a detecção precoce interrompe o incidente antes da perda operacional.