O que é ransomware e como se proteger dele?

Você abre uma pasta de fotos da família e nenhuma delas abre. Ao lado há um arquivo de texto que você nunca criou: seus arquivos foram criptografados, uma chave pode ser comprada e o preço sobe depois de um prazo. Na mesma manhã, uma pequena empresa encontra todas as unidades compartilhadas no mesmo estado, com uma ameaça a mais: pague, ou os dados dos clientes serão divulgados.

Os dois casos são ransomware. Este artigo explica o que é, como um ataque acontece, os principais tipos e sinais, o que fazer na primeira hora, como recuperar os arquivos sem pagar e como se prevenir em casa e no trabalho. Ele foi escrito para quem sofre o ataque, não para atacantes.

O que é ransomware?#

Ransomware é um malware que deixa seus arquivos ou seu dispositivo inutilizáveis até que um resgate seja pago. A CISA, agência de cibersegurança dos Estados Unidos, o descreve como um malware feito para criptografar os arquivos de um dispositivo, deixando inutilizáveis os arquivos e os sistemas que dependem deles. O National Cyber Security Centre (NCSC) do Reino Unido o descreve pelo lado da vítima: ele impede que você acesse o seu dispositivo e os dados dele.

A criptografia em si é uma tecnologia comum, que protege o seu internet banking e o armazenamento do seu celular; ela vira ransomware quando o atacante tem a única chave. O ransomware é uma família de malware, o termo geral para software feito para danificar, espionar ou assumir o controle de um dispositivo; O que é malware? trata das outras famílias.

Muitos ataques agora puxam uma segunda alavanca. Os atacantes copiam os dados antes de criptografar qualquer coisa e ameaçam publicá-los se ninguém pagar, uma tática que a CISA chama de dupla extorsão. Alguns pulam a criptografia e só ameaçam publicar o que levaram.

Como funciona um ataque de ransomware?#

1. A entrada. As portas comuns são um e-mail de phishing com anexo ou link nocivo (O que é phishing? mostra como identificar um), uma senha roubada ou reutilizada, uma área de trabalho remota (a ferramenta para controlar um computador pela rede) exposta à internet, um dispositivo desatualizado e exposto à internet, como um gateway de VPN, ou um download falso de software.
2. A propagação. Na rede de uma empresa, os atacantes passam do primeiro computador para outros e procuram contas de administrador; a CISA chama isso de movimentação lateral. Em um PC doméstico, o malware alcança tudo o que o computador alcança: um pen drive conectado, uma unidade de rede, pastas compartilhadas.
3. O ataque aos backups. Muitas variantes de ransomware procuram os backups que conseguem alcançar e os apagam ou criptografam, e os atacantes usam indevidamente ferramentas do próprio Windows para remover pontos de restauração.
4. A cópia dos dados. Em um ataque de dupla extorsão, documentos, registros de clientes e e-mails vão para os servidores dos atacantes antes que qualquer coisa seja bloqueada.
5. A criptografia e a exigência. Os arquivos são criptografados e os originais, apagados. Uma nota aparece em cada pasta ou na tela inteira, com instruções de pagamento e um prazo.

A exigência costuma ser o último passo de uma invasão que começou antes. Segundo o guia da CISA, um incidente de ransomware pode ser sinal de uma invasão anterior da rede que nunca foi resolvida; por isso as empresas descobrem como os atacantes entraram antes de reconstruir os sistemas.

Quais tipos de ransomware existem?#

O ransomware de criptografia é o que a maioria das pessoas entende pela palavra: o projeto No More Ransom observa que os originais são apagados assim que as cópias criptografadas existem e que um arquivo de texto com instruções de pagamento costuma ficar na mesma pasta. A dupla extorsão e a extorsão de dados transformam a perda de arquivos em uma violação de dados, porque nem um backup impecável consegue desfazer o que já foi copiado. Também existe ransomware para servidores web e para celulares, principalmente Android.

Como saber se você tem ransomware?#

Normalmente, o primeiro sinal é a própria exigência. A Microsoft observa que uma infecção raramente aparece até que uma janela, um aplicativo ou uma mensagem em tela cheia peça dinheiro, muitas vezes quando os arquivos já foram criptografados.

Sinais que apontam para ransomware:

• Arquivos que não abrem, em várias pastas ao mesmo tempo.
• Um arquivo de texto ou página web que você não criou, com instruções de pagamento, nessas pastas.
• Uma mensagem em tela cheia que informa um preço e um prazo.
• Backups, pontos de restauração ou versões anteriores de arquivos que sumiram ou também foram criptografados.
• Em uma rede, unidades compartilhadas no mesmo estado e colegas vendo a mesma mensagem.

Uma página do navegador que diz que o seu computador está bloqueado e mostra um número de telefone costuma ser o golpe do falso suporte técnico, não ransomware. A Microsoft recomenda fechar o navegador (Alt+F4 se o mouse não responder) ou reiniciar o computador; mensagens de erro verdadeiras da Microsoft nunca trazem número de telefone.

O que fazer se o ransomware atingir o seu computador?#

Desconecte o dispositivo da rede primeiro: a lista de resposta do guia #StopRansomware da CISA começa isolando imediatamente os sistemas afetados. Depois:

1. Desconecte. Tire o cabo de rede, desligue o Wi-Fi e desconecte as unidades USB e de backup. Mantenha o dispositivo ligado, a menos que não consiga desconectá-lo; só nesse caso a CISA recomenda desligá-lo, porque desligar apaga as evidências guardadas na memória.
2. Fotografe a mensagem. Use o celular para registrar a nota, qualquer endereço web que apareça nela e alguns nomes de arquivos criptografados. Isso ajuda a polícia e serve para identificar o ransomware.
3. Não pague nem entre em contato com os atacantes. As perguntas frequentes abaixo trazem a orientação oficial sobre pagamento.
4. No trabalho, ligue para a TI ou para a equipe de segurança. A CISA recomenda coordenar por telefone, porque os atacantes podem estar lendo os e-mails.
5. Denuncie. Nos Estados Unidos, à CISA (cisa.gov/report) ou ao Internet Crime Complaint Center do FBI (ic3.gov); no Reino Unido, por gov.uk/report-cyber; em outros países, à agência nacional de cibersegurança, ao CERT (grupo de resposta a emergências de computador) ou à polícia.
6. Limpe ou reinstale o dispositivo. Faça uma verificação completa com o seu software de segurança. Se ele não conseguir limpar o dispositivo, o NCSC recomenda apagá-lo e reinstalar tudo, começando pelo sistema operacional.
7. Restaure e troque as senhas. Restaure os arquivos só no dispositivo já limpo; o NCSC alerta que restaurar em um dispositivo infectado pode trazer a infecção de volta. De um dispositivo limpo, troque as senhas do e-mail, do banco e de todas as contas usadas no computador infectado.

Dá para recuperar os arquivos sem pagar?#

Muitas vezes, sim: de um backup feito antes da infecção, do histórico de versões de um serviço de nuvem ou com uma ferramenta de descriptografia gratuita. Nenhum desses caminhos funciona sempre, e o NCSC alerta que a maioria dos arquivos criptografados só pode ser descriptografada pelo atacante, o que faz de um backup desconectado a verdadeira rede de segurança.

O No More Ransom, criado pela Unidade Nacional de Crimes de Alta Tecnologia da polícia holandesa e pelo Centro Europeu de Cibercrime (EC3) da Europol com empresas de segurança, reúne ferramentas de descriptografia gratuitas para qualquer pessoa. A ferramenta Crypto Sheriff identifica o ransomware a partir dos dados que você informa e verifica se existe um descriptografador. Chaves aparecem quando os atacantes cometem erros ou quando a polícia apreende os servidores deles; então, volte a conferir se nada servir hoje.

Como se proteger do ransomware?#

Mantenha um backup offline, instale atualizações logo, proteja os logins com autenticação multifator e feche portas fáceis, como uma área de trabalho remota exposta à internet. A tabela organiza as principais medidas pelo que elas impedem:

Uma regra prática comum para backups é a 3-2-1: três cópias dos arquivos importantes (o original e dois backups), em dois tipos de armazenamento, uma delas guardada em outro lugar. Contra o ransomware, a cópia que conta é a que o computador infectado não consegue alcançar, como um disco externo que você desconecta depois de cada backup. As orientações do NCSC sobre ransomware acrescentam dois pontos que as pessoas pulam: manter o dispositivo de backup desconectado e testar uma restauração de vez em quando.

As atualizações fecham as falhas que os atacantes já conhecem; a CISA pede que as organizações corrijam primeiro os sistemas expostos à internet e as vulnerabilidades sabidamente exploradas. Uma falha que ainda não tem correção é outro caso, explicado em O que é uma vulnerabilidade zero-day?.

A autenticação multifator (MFA) acrescenta uma segunda etapa à senha, então uma senha roubada sozinha não abre o seu e-mail nem um login de acesso remoto. A CISA recomenda MFA resistente a phishing, como chaves de acesso ou chaves de segurança, começando pelo e-mail e pelo acesso via VPN.

Como ativar a proteção contra ransomware no Windows?#

O Windows 10 e o 11 incluem o Acesso controlado a pastas, que impede que aplicativos desconhecidos ou não confiáveis alterem arquivos em pastas protegidas. A página de ajuda da Segurança do Windows da Microsoft mostra o caminho:

1. Abra a Segurança do Windows pelo menu Iniciar.
2. Selecione Proteção contra vírus e ameaças > Gerenciar a proteção contra ransomware.
3. Ative o Acesso controlado a pastas.
4. Em Pastas protegidas, adicione pastas além das padrão (Documentos, Imagens, Vídeos, Música e Área de Trabalho).

Se um programa confiável for barrado, o Windows mostra Aplicativo bloqueado; selecione a notificação e depois Adicionar um aplicativo permitido. Adicione só programas que você conhece: a Microsoft alerta que um aplicativo permitido que depois seja comprometido pode alterar os arquivos protegidos. Para um PC doméstico, a troca compensa: um aplicativo bloqueado de vez em quando em troca de pastas que um software desconhecido não consegue reescrever.

Qual a diferença do ransomware em casa e nas empresas?#

Em casa, o ransomware costuma atingir um computador e os arquivos que ele alcança; na empresa, muitas vezes é uma invasão planejada contra servidores, backups e dados ao mesmo tempo. Em casa, as defesas são simples: um backup desconectado, atualizações e uma conta padrão para o uso diário.

As empresas enfrentam atacantes que podem passar um tempo dentro da rede antes de criptografar qualquer coisa. A CISA pede que as organizações mantenham um plano de resposta a incidentes, segmentem a rede, guardem backups offline e criptografados e imagens do sistema prontas para a reconstrução, e envolvam as autoridades policiais. Se dados pessoais foram criptografados ou copiados, trata-se também de uma violação de dados pessoais: o Comitê Europeu para a Proteção de Dados considera como tal os dados que a criptografia de um ransomware tornou indisponíveis e, quando a notificação é obrigatória, a autoridade de controle precisa ser informada em até 72 horas.

Um proxy ou uma VPN não protegem contra ransomware: os dois mudam o endereço IP de onde o seu tráfego sai, e nenhum deles verifica o que você baixa ou executa. Os proxies aparecem, isso sim, do lado da defesa. Equipes de inteligência de ameaças que monitoram fontes públicas em busca de documentos vazados de uma empresa trabalham em máquinas isoladas e passam essa pesquisa por proxies residenciais, mantendo a própria rede fora de vista, como descreve a nossa página de segurança de dados.

Onde você encontra ransomware#

Em anexos de e-mail que se passam por faturas, comprovantes de entrega ou currículos. Em downloads falsos de software e programas piratas. Em redes de empresas invadidas por acesso remoto ou pela conta de um fornecedor. Em servidores web com software desatualizado. Em celulares Android, por meio de apps falsos. No noticiário, quando uma empresa ou um serviço público fica dias sem funcionar.

Erros comuns#

• Deixar o único backup conectado. O ransomware criptografa todas as unidades que alcança.
• Tratar uma pasta sincronizada como backup. Arquivos criptografados são sincronizados com a nuvem como qualquer outra alteração.
• Formatar o computador antes de registrar a nota. A nota e os nomes dos arquivos ajudam a identificar o ransomware e um possível descriptografador.
• Restaurar em um dispositivo ainda infectado. Limpe ou reinstale primeiro.
• Pagar e achar que acabou. A chave pode não funcionar, os dados copiados ainda podem ser publicados, e o NCSC alerta que quem paga tem mais chance de ser atacado de novo.

Guia de decisão#

Perguntas frequentes#

Devo pagar o resgate?#

Não, segundo todas as fontes oficiais. O NCSC e as autoridades policiais do Reino Unido não incentivam, não endossam nem toleram o pagamento, o FBI não apoia pagar e o No More Ransom aconselha nunca pagar. Pagar não garante nem uma chave que funcione nem que os dados copiados continuem privados. Se você já pagou, a Microsoft recomenda falar imediatamente com o seu banco e com as autoridades locais; às vezes um pagamento com cartão ainda pode ser bloqueado.

Antivírus remove ransomware?#

Normalmente remove o programa de ransomware, mas não desfaz a criptografia. A Microsoft recomenda limpar o PC por completo com a Segurança do Windows antes de recuperar os arquivos, e o NCSC orienta apagar e reinstalar se o software de segurança não conseguir limpar o dispositivo. Os arquivos voltam de um backup ou, em alguns tipos, com uma ferramenta de descriptografia gratuita.

Celular pode pegar ransomware?#

Sim, principalmente celulares Android. O No More Ransom diz que o ransomware móvel chega por apps falsos e por downloads automáticos (drive-by downloads), arquivos que começam a baixar quando você visita uma página; por isso, instale apps só da loja oficial e mantenha o celular atualizado. Se um app bloqueou o celular, o NCSC considera a restauração de fábrica a solução mais segura, seguida da restauração a partir de um backup.

O ransomware consegue criptografar o OneDrive ou outro armazenamento em nuvem?#

Sim, se os arquivos estiverem em uma pasta sincronizada: as versões criptografadas são enviadas como qualquer outra alteração, e o FBI já alertou que o ransomware pode bloquear backups em nuvem que sincronizam continuamente. O histórico de versões permite voltar atrás; assinantes do Microsoft 365 podem restaurar o OneDrive inteiro para um momento dos últimos 30 dias.

O ransomware pode se espalhar para outros computadores da minha rede?#

Sim. A Microsoft observa que o ransomware pode se espalhar de um computador em rede para outros computadores e dispositivos de armazenamento dessa rede, e em redes de empresas os atacantes passam de uma máquina para outra de propósito. Dispositivos no mesmo Wi-Fi compartilham uma rede local, então isso vale também em casa.

Ransomware é vírus?#

Não exatamente. As pessoas chamam qualquer malware de "vírus", mas, a rigor, vírus é um tipo específico que se copia para dentro de outros arquivos. O ransomware tem esse nome pelo que faz, bloquear ou criptografar em troca de dinheiro, e pode chegar dentro de um cavalo de Troia (um programa que se passa por algo útil) ou ser executado por atacantes que já estão dentro de uma rede.

Em resumo#

O ransomware transforma os seus próprios arquivos em reféns: ele os criptografa ou bloqueia, muitas vezes os copia antes e pede dinheiro. Um backup desconectado, atualizações em dia e o login multifator tiram dele a maior parte do poder de pressão. Se acontecer, desconecte, fotografe a nota, denuncie, consulte o No More Ransom e restaure a partir de um backup limpo em vez de pagar. Um proxy muda o endereço de onde o seu tráfego sai, não o que roda no seu computador; para que os proxies servem de fato está explicado na nossa página sobre proxy.