A semana foi marcada por ataques e campanhas que mostram como diferentes partes da infraestrutura corporativa continuam sendo exploradas por criminosos.
Entre os principais destaques estão um ataque atribuído ao ransomware Rhysida contra a administração pública de Berlim, uma nova estrutura de malware associada a criminosos brasileiros que transforma acessos comprometidos em mercadoria, quase 22 mil servidores Microsoft Exchange ainda expostos a uma vulnerabilidade capaz de permitir o sequestro de caixas de e-mail e um incidente no setor de saúde envolvendo acesso não autorizado a plataformas de terceiros.
Os casos apresentam técnicas diferentes, mas reforçam três tendências importantes: o crescimento da extorsão baseada em roubo de dados, a profissionalização do mercado de acesso inicial e a exploração de identidades e serviços corporativos expostos.
Ransomware atinge sistemas administrativos do governo de Berlim
O governo estadual de Berlim confirmou que o grupo de ransomware Rhysida conseguiu acessar parte de sua rede administrativa durante um incidente que permaneceu ativo por vários dias.
Segundo a investigação forense, os invasores teriam permanecido com acesso à infraestrutura por aproximadamente sete dias entre a identificação da atividade e o isolamento completo dos departamentos comprometidos.
Durante esse período, o grupo afirmou ter obtido aproximadamente 1,44 milhão de arquivos governamentais, incluindo documentos internos, informações pessoais e arquivos relacionados à segurança da infraestrutura de abastecimento de água da capital alemã.
A quantidade exata e o conteúdo integral dos arquivos ainda dependem da investigação, portanto os números divulgados pelo grupo criminoso devem ser tratados como alegações até sua confirmação.
Sete dias de acesso aumentaram significativamente o risco
Um dos aspectos mais importantes do incidente é o período entre a identificação da atividade suspeita e o isolamento dos sistemas.
Segundo os investigadores, a extração de informações começou em 7 de agosto.
Na mesma data, o departamento responsável por Mobilidade, Transporte, Proteção Climática e Meio Ambiente identificou o problema.
Entretanto, os departamentos afetados foram desconectados da rede central apenas em 14 de agosto.
A rede administrativa de Berlim conecta aproximadamente 600 locais, incluindo:
- Órgãos governamentais;
- Delegacias;
- Bombeiros;
- Hospitais;
- Outras entidades públicas.
Essa integração facilita a comunicação entre diferentes áreas, mas também pode ampliar o risco de movimentação lateral quando um segmento é comprometido.
Quanto mais tempo um invasor permanece dentro de uma rede, maior é sua oportunidade para:
- Identificar sistemas estratégicos;
- Obter credenciais;
- Mapear compartilhamentos;
- Explorar outros servidores;
- Exfiltrar informações;
- Criar mecanismos de persistência.
Por isso, o tempo de contenção é um dos indicadores mais importantes durante uma resposta a incidentes.
Rhysida utilizou estratégia de extorsão baseada em dados
O comportamento observado é compatível com a estratégia de dupla extorsão normalmente associada a operações de ransomware.
Nesse modelo, os criminosos não dependem exclusivamente da criptografia.
Primeiro, eles procuram invadir a rede e roubar informações.
Posteriormente, podem criptografar os sistemas ou simplesmente ameaçar publicar os dados caso a vítima não realize o pagamento.
No incidente de Berlim, não foram identificados indícios de criptografia dos sistemas.
A investigação indica que a principal estratégia utilizada pelo Rhysida foi a exfiltração de informações como instrumento de pressão.
Isso reforça uma mudança importante no cenário de ransomware: mesmo quando backups funcionam perfeitamente, a organização ainda pode sofrer extorsão por causa dos dados roubados.
Arquivos podem conter informações sobre infraestrutura crítica
Entre os arquivos relacionados pelos criminosos estavam documentos associados ao sistema de abastecimento de água.
Segundo o inventário divulgado pelo grupo, também haveria milhares de arquivos relacionados a credenciais, incluindo possíveis senhas armazenadas em texto simples.
Também foram mencionadas avaliações de vulnerabilidade relacionadas à infraestrutura hídrica.
Esse tipo de informação pode ser mais perigoso do que um simples documento administrativo.
Relatórios técnicos podem revelar:
- Arquitetura da rede;
- Vulnerabilidades conhecidas;
- Equipamentos utilizados;
- Sistemas críticos;
- Configurações;
- Controles existentes;
- Pontos de entrada potenciais.
Caso essas informações sejam legítimas, elas podem ser utilizadas por outros agentes para preparar ataques futuros.
Informações pessoais também podem ter sido comprometidas
A relação divulgada pelos criminosos também inclui alegações sobre informações pessoais e administrativas.
Entre os dados citados estão:
- Nomes;
- Endereços de e-mail;
- Telefones;
- Dados bancários;
- Contratos;
- Informações financeiras;
- Documentos jurídicos;
- Informações de recursos humanos;
- Documentos de identidade;
- Bancos de dados históricos.
O governo informou que ainda não consegue descartar o comprometimento de informações pessoais e outros dados não públicos. A extensão real da exfiltração continua sendo investigada.
Impacto atingiu serviços públicos
O ataque não ficou restrito à área de tecnologia.
Entre 14 e 23 de agosto, departamentos desconectados da rede perderam acesso a diferentes recursos, incluindo:
- Internet;
- E-mail externo;
- Bancos de dados compartilhados.
Segundo o material, pedidos e pagamentos relacionados ao auxílio-moradia foram interrompidos para mais de 50 mil famílias durante parte do período.
Alguns serviços digitais permaneceram indisponíveis até o final de agosto.
O caso mostra que ataques contra sistemas administrativos podem rapidamente produzir impactos sobre serviços utilizados diretamente pela população.
Como reduzir riscos semelhantes
Entre as medidas mais importantes estão:
- Segmentar redes administrativas;
- Implementar autenticação multifator;
- Monitorar grandes transferências de dados;
- Detectar movimentação lateral;
- Evitar armazenamento de senhas em texto simples;
- Manter backups isolados;
- Criar mecanismos rápidos de isolamento;
- Testar planos de resposta;
- Estabelecer procedimentos de contenção emergencial.
Mais importante do que apenas detectar a intrusão é possuir autoridade e processos para isolar rapidamente os sistemas afetados.
Malware brasileiro transforma invasões em mercadoria
Outra ameaça relevante da semana é uma estrutura de malware para Windows chamada BraZetsu.
Segundo pesquisadores da Group-IB, a ferramenta está sendo utilizada para realizar reconhecimento detalhado de redes comprometidas e avaliar quais acessos possuem maior valor comercial.
Em vez de necessariamente executar o ataque final, os operadores podem preparar a máquina comprometida e vender seu acesso para outros criminosos.
A campanha possui foco relevante em organizações do Brasil, da Península Ibérica e de outros países da América Latina.
A Group-IB associou a operação, com alto grau de confiança, ao grupo brasileiro Exilware.
Malware funciona como avaliador da vítima
Depois da infecção inicial, o BraZetsu coleta informações sobre o computador e a rede.
Entre os elementos analisados estão:
- Processos em execução;
- Portas abertas;
- Serviços de rede;
- Softwares instalados;
- Características do sistema;
- Certificados digitais;
- Estruturas de backup;
- Soluções de segurança.
O objetivo é determinar o potencial valor do acesso.
Em vez de tratar todas as vítimas da mesma forma, o malware ajuda os operadores a identificar quais máquinas estão ligadas a sistemas financeiros, infraestrutura, desenvolvimento ou outras áreas consideradas mais lucrativas.
BraZetsu procura informações específicas do mercado brasileiro
Um dos elementos mais relevantes da campanha é a procura por arquivos e sistemas utilizados em operações financeiras.
Segundo os pesquisadores, o malware busca arquivos no formato CNAB, amplamente utilizado no Brasil para comunicação de dados bancários entre empresas e instituições financeiras.
Também procura indícios de:
- Sistemas ERP;
- Sistemas industriais;
- Ferramentas de desenvolvimento;
- Soluções de backup;
- Plataformas de segurança;
- Certificados digitais.
Esse reconhecimento permite identificar se o equipamento comprometido está relacionado a uma área estratégica da organização.
Controle remoto permite preparar a máquina para outro criminoso
O BraZetsu possui dezenas de funções.
Além da coleta automatizada de informações, os operadores podem:
- Capturar telas;
- Executar comandos;
- Observar o ambiente;
- Analisar arquivos;
- Avaliar sistemas.
O objetivo pode ser preparar o acesso antes da venda.
Um segundo criminoso pode posteriormente adquirir aquela máquina comprometida e instalar seu próprio malware.
Isso significa que o agente responsável pela primeira invasão pode não ser o mesmo que executará:
- Ransomware;
- Fraude;
- Espionagem;
- Roubo de dados;
- Ataques contra outros sistemas.
Inteligência artificial pode ter auxiliado a operação
Pesquisadores também encontraram sinais de possível utilização de inteligência artificial durante o desenvolvimento ou operação do malware.
Entre os elementos observados estavam comentários detalhados no código e outras características consideradas compatíveis com auxílio de ferramentas generativas.
Também foram encontradas referências que sugerem um possível componente no servidor responsável por analisar os dados coletados.
Esse sistema poderia ajudar a determinar:
- Importância dos arquivos;
- Valor do computador;
- Prioridade da vítima;
- Características do ambiente.
A Group-IB, entretanto, não conseguiu determinar com precisão qual foi o nível real de participação da IA.
Portanto, o uso da tecnologia deve ser tratado como hipótese sustentada por indícios, e não como fato plenamente confirmado.
Acessos comprometidos são vendidos em mercado clandestino
A campanha está ligada ao chamado Infect Marketplace, serviço clandestino operado pelo Exilware.
Segundo os pesquisadores, o BraZetsu seria utilizado como uma das principais ferramentas para alimentar o inventário de máquinas comprometidas.
Os compradores podem adquirir acesso e posteriormente instalar suas próprias cargas maliciosas.
Esse modelo cria uma divisão clara:
um criminoso invade → outro avalia → outro compra → outro executa o ataque final.
Essa estrutura é semelhante ao mercado de Initial Access Brokers, conhecidos como IABs.
Baixo custo aumenta a quantidade de possíveis compradores
Segundo o relatório, acessos chegaram a ser oferecidos por valores próximos de US$ 5,80.
Um preço tão baixo reduz significativamente a barreira para novos participantes do crime digital.
Uma máquina corporativa comprometida pode, portanto, circular entre diferentes grupos antes que a própria organização perceba o problema.
Isso significa que a ausência de ransomware imediatamente após a infecção não deve ser interpretada como ausência de risco.
A invasão inicial pode ser apenas uma etapa de preparação.
Como detectar atividades relacionadas ao BraZetsu
Entre os comportamentos que merecem atenção estão:
- Enumeração incomum de softwares;
- Consultas suspeitas ao Registro do Windows;
- Busca por arquivos
.cnab,.240ou.400; - Acesso inesperado a certificados
.pfxe.p12; - Comunicações WebSocket desconhecidas;
- Capturas de tela sem justificativa;
- Execução remota de comandos;
- Uso inesperado de serviços externos para recuperar configurações.
Também é importante segmentar ambientes financeiros, administrativos e de infraestrutura crítica.
Para empresas brasileiras, essa ameaça merece atenção especial devido à busca direcionada por arquivos e sistemas comuns no mercado nacional.
Quase 22 mil servidores Exchange continuam expostos
Outra preocupação envolve a CVE-2026-62911, vulnerabilidade de alta gravidade no Microsoft Exchange Server.
Segundo dados citados no material, quase 22 mil servidores acessíveis pela internet ainda não apresentavam a correção necessária.
A falha afeta:
- Exchange Server 2016;
- Exchange Server 2019;
- Exchange Server Subscription Edition.
Segundo a Microsoft, um invasor que já possua privilégios básicos pode explorar a vulnerabilidade para elevar suas permissões e obter acesso às caixas de correio armazenadas no servidor.
Vulnerabilidade pode permitir sequestro de caixas de e-mail
A falha está relacionada a um mecanismo de captura e reprodução de autenticação.
De forma simplificada, informações utilizadas anteriormente em uma autenticação legítima podem ser reutilizadas indevidamente para conseguir privilégios superiores.
Caso o ataque seja bem-sucedido, um invasor pode conseguir:
- Ler mensagens;
- Enviar e-mails em nome dos usuários;
- Baixar anexos;
- Consultar informações armazenadas nas caixas de correio.
Esse tipo de acesso é extremamente relevante porque o e-mail corporativo funciona como ponto central de comunicação e recuperação de contas.
Uma caixa de correio comprometida também pode ser utilizada para:
- Fraudes financeiras;
- Phishing interno;
- Reset de senhas;
- Roubo de documentos;
- Engenharia social;
- Ataques contra clientes e fornecedores.
Código de exploração já está disponível
Até o momento do material analisado, a Microsoft ainda não havia classificado oficialmente a CVE-2026-62911 como explorada em ataques reais.
Entretanto, o Centro Nacional de Segurança Cibernética da Holanda informou que já existe código público de exploração.
A disponibilidade de exploit pode reduzir significativamente o tempo necessário para que criminosos incorporem a vulnerabilidade às suas ferramentas.
O órgão recomendou que as atualizações sejam aplicadas o mais rápido possível.
Shadowserver identifica 21.899 servidores expostos
Segundo a Shadowserver, foram identificados 21.899 endereços IP associados a servidores Exchange que permaneciam expostos sem a atualização necessária.
Os dois países com maior quantidade eram:
- Estados Unidos: aproximadamente 6.200;
- Alemanha: aproximadamente 5.100.
O órgão alemão BSI também informou que grande parte dos servidores Exchange locais do país ainda permanecia vulnerável.
Esses números mostram como vulnerabilidades conhecidas continuam oferecendo uma grande superfície de ataque mesmo depois da disponibilização das correções.
Exchange 2016 e 2019 exigem planejamento de migração
Outro problema é o ciclo de vida das versões antigas.
Exchange Server 2016 e 2019 já não estão mais no ciclo convencional de suporte e dependem de atualizações por meio do programa Extended Security Updates.
Segundo o material, esse programa para essas versões está previsto para terminar em outubro de 2026.
As organizações que ainda dependem desses servidores precisam planejar a migração para versões suportadas.
Manter um sistema de e-mail sem suporte e diretamente exposto à internet representa um risco crescente.
Exchange possui histórico de exploração
A plataforma também possui um histórico relevante de ataques.
Segundo os dados citados, desde novembro de 2021 a CISA identificou 20 vulnerabilidades do Microsoft Exchange exploradas ativamente.
Quatorze delas também foram utilizadas em campanhas de ransomware.
Esse histórico reforça a necessidade de tratar servidores de e-mail como ativos críticos.
Como proteger ambientes Exchange
Entre as medidas prioritárias estão:
- Aplicar a correção da CVE-2026-62911;
- Reduzir exposição direta à internet;
- Restringir acessos administrativos;
- Monitorar caixas de correio;
- Revisar contas privilegiadas;
- Detectar envios de mensagens incomuns;
- Monitorar autenticações suspeitas;
- Planejar a migração de Exchange 2016 e 2019;
- Utilizar versões dentro do ciclo oficial de suporte.
Organizações que não consigam atualizar imediatamente devem ao menos reduzir a exposição enquanto o patch não é aplicado.
Empresa do setor de saúde confirma acesso não autorizado
Outro incidente desta semana envolve a McKesson, organização que atua no setor de distribuição farmacêutica e serviços de saúde. A empresa confirmou um incidente envolvendo acesso não autorizado a aplicações de terceiros e possível exfiltração de informações. O grupo de extorsão ShinyHunters assumiu a responsabilidade e afirma ter obtido aproximadamente 284 milhões de registros relacionados a pacientes. A McKesson, entretanto, ainda não confirmou essa quantidade nem detalhou quais informações foram efetivamente comprometidas. Portanto, o número de 284 milhões deve ser tratado como alegação dos criminosos, não como quantidade confirmada de vítimas.
Ataque pode ter começado por engenharia social
Segundo informações fornecidas pelo próprio grupo ao BleepingComputer, a campanha utilizou vishing, técnica de phishing realizada por voz.
Nesse modelo, o criminoso entra em contato com o funcionário se passando por:
- Suporte técnico;
- Equipe de TI;
- Administrador;
- Prestador;
- Outro funcionário.
O objetivo é convencer a vítima a fornecer informações ou executar alguma ação.
Segundo os invasores, a campanha permitiu comprometer contas de Single Sign-On relacionadas à Okta.
Essa informação sobre o vetor inicial ainda está baseada nas declarações do grupo e não foi confirmada integralmente pela empresa.
Domínios falsos ajudam a tornar o golpe convincente
Um domínio semelhante ao nome da empresa também foi identificado como possível parte da campanha.
Esse comportamento é comum em ataques de engenharia social.
Os criminosos registram endereços que imitam:
- Portais corporativos;
- Help desk;
- Sistemas de RH;
- Ambientes de autenticação;
- Serviços de suporte.
A vítima recebe um endereço visualmente plausível e pode acreditar que está interagindo com um sistema legítimo.
Grupo afirma ter retirado aproximadamente 1 TB de informações
O ShinyHunters afirma ter exfiltrado aproximadamente um terabyte de dados ao longo de quatro dias.
Segundo o grupo, o ambiente Snowflake continha aproximadamente 284 milhões de registros relacionados a pacientes.
Entretanto, o próprio grupo reconheceu que esse valor representa uma contagem de registros de banco de dados e não necessariamente 284 milhões de pessoas distintas.
Uma mesma pessoa pode aparecer em diferentes linhas e sistemas.
O grupo também afirmou que ainda não havia analisado completamente todo o material.
Dados alegados incluem informações sensíveis
Segundo as alegações dos criminosos, o conjunto de informações poderia incluir:
- Nomes;
- Endereços;
- Datas de nascimento;
- Telefones;
- E-mails;
- Identificadores;
- Informações médicas;
- Dados sobre medicamentos;
- Alergias;
- Dados de consultas;
- Informações de prestadores;
- Prescrições.
Essas alegações ainda não foram verificadas de forma independente e a empresa não confirmou quais informações foram comprometidas.
Grupo afirma ter exigido mais de US$ 55 milhões
Os criminosos também alegaram ter exigido aproximadamente US$ 55 milhões para evitar a divulgação dos dados.
Segundo o grupo, a empresa teria recebido um prazo de 72 horas.
Não existe, entretanto, confirmação independente sobre:
- Valor real da exigência;
- Negociação;
- Pagamento;
- Autenticidade integral das mensagens.
O caso segue o modelo de extorsão sem necessidade obrigatória de criptografia, no qual a ameaça de publicação dos dados se torna o principal mecanismo de pressão.
Investigação ainda precisa determinar o impacto real
A McKesson informou que ativou seus procedimentos de resposta a incidentes e contratou especialistas externos.
A investigação ainda precisa determinar:
- Quais sistemas foram acessados;
- Quais informações foram exfiltradas;
- Quantos indivíduos podem ter sido afetados;
- Qual é a autenticidade dos dados apresentados pelos criminosos;
- Qual foi a extensão total da invasão.
Essa postura é importante porque incidentes ainda em investigação podem sofrer mudanças significativas à medida que novas evidências são analisadas.
Engenharia social contra identidade e SaaS ganha relevância
O caso acontece em meio a uma série de campanhas contra empresas do setor de saúde.
Organizações vêm sendo alertadas para ataques que utilizam engenharia social para comprometer contas legítimas e posteriormente acessar plataformas SaaS.
Quando um criminoso consegue controlar uma conta de SSO, o problema pode se estender para diversos serviços associados à mesma identidade.
Dependendo das permissões, uma única conta pode dar acesso a:
- Salesforce;
- Snowflake;
- E-mail;
- Sistemas internos;
- Aplicações corporativas;
- Repositórios de documentos.
Isso mostra que credenciais legítimas podem ser tão perigosas quanto uma vulnerabilidade técnica.
Como reduzir riscos de ataques contra identidade
Empresas que dependem de plataformas em nuvem e Single Sign-On devem priorizar:
- MFA resistente a phishing;
- Passkeys ou chaves físicas;
- Monitoramento de logins anormais;
- Menor privilégio;
- Controle de dispositivos;
- Bloqueio de acessos geograficamente incomuns;
- Treinamento contra vishing;
- Monitoramento de domínios semelhantes;
- Revisão de aplicativos de terceiros;
- Logs detalhados em SaaS;
- Detecção de grandes extrações de dados.
Também é importante estabelecer procedimentos claros para o suporte técnico.
Funcionários devem saber exatamente quais informações um profissional de TI legítimo pode ou não solicitar durante uma chamada.
O que os acontecimentos desta semana têm em comum
Os quatro casos mostram diferentes etapas do ecossistema moderno de ataques.
- No caso de Berlim, os criminosos permaneceram dentro da rede durante dias e priorizaram a extração de informações.
- No BraZetsu, o acesso inicial é tratado como uma mercadoria que pode ser revendida.
- No Exchange, milhares de servidores vulneráveis permanecem acessíveis mesmo depois da divulgação das correções.
- No incidente do setor de saúde, o vetor pode estar relacionado ao comprometimento de identidades legítimas por meio de engenharia social.
Juntos, esses acontecimentos mostram que a defesa precisa atuar em diversas camadas.
Não basta proteger apenas o endpoint.
Também é necessário proteger:
- Identidades;
- Aplicações SaaS;
- Servidores de e-mail;
- Credenciais;
- Terceiros;
- Sistemas administrativos;
- Infraestrutura crítica;
- Dados sensíveis.
Prioridades para as organizações
Os acontecimentos desta semana reforçam algumas prioridades:
- Reduzir o tempo entre detecção e contenção;
- Segmentar redes;
- Monitorar grandes transferências de dados;
- Detectar reconhecimento interno;
- Proteger credenciais;
- Implementar MFA resistente a phishing;
- Atualizar Exchange;
- Planejar migração de versões sem suporte;
- Monitorar plataformas SaaS;
- Controlar aplicações de terceiros;
- Treinar funcionários contra vishing;
- Monitorar domínios falsos;
- Investigar rapidamente máquinas comprometidas;
- Revisar acessos administrativos.
Um ponto especialmente importante é perceber que uma infecção inicial pode não ser o ataque final. Acesso comprometido pode ser mantido durante semanas e posteriormente vendido para outros grupos.
Conclusão
Os conteúdos desta semana demonstram uma evolução contínua do crime cibernético em direção a modelos cada vez mais especializados.
O atacante que consegue o acesso inicial não precisa ser necessariamente o mesmo que rouba os dados, executa o ransomware ou realiza a extorsão.
A existência de mercados de acesso permite dividir a operação em etapas.
- Um criminoso pode comprometer a máquina.
- Outro pode avaliar o valor da vítima.
- Um terceiro pode comprar o acesso.
- E um quarto pode utilizar aquela infraestrutura para executar ransomware ou roubar informações.
Essa especialização amplia significativamente a escala dos ataques.
O caso de Berlim também demonstra que o tempo de permanência do invasor precisa ser tratado como um indicador crítico. Sete dias dentro de uma rede integrada podem representar tempo suficiente para realizar reconhecimento, movimento lateral e exfiltração de grandes quantidades de informações. Por isso, detectar um ataque não é suficiente. A organização precisa conseguir conter o incidente rapidamente.
Outro aprendizado importante envolve os servidores Microsoft Exchange. Quase 22 mil sistemas ainda expostos, somados à existência de código público de exploração, mostram que a simples disponibilização de uma atualização não elimina a vulnerabilidade. É necessário conhecer os ativos, identificar quais estão afetados e garantir que os patches realmente foram instalados.
Já o incidente envolvendo o setor de saúde reforça que identidade continua sendo um dos principais alvos dos criminosos. Quando um atacante compromete uma conta legítima protegida por Single Sign-On, ele pode acessar diversos sistemas utilizando permissões que aparentemente pertencem a um usuário real. Por isso, autenticação resistente a phishing, monitoramento de sessões, políticas de menor privilégio e conscientização contra engenharia social precisam funcionar em conjunto.
No cenário atual, a segurança precisa acompanhar todo o ciclo do ataque:
acesso inicial → reconhecimento → persistência → movimento lateral → coleta → exfiltração → extorsão.
Quanto mais cedo a organização conseguir interromper essa cadeia, menor será o impacto.
A principal lição da semana é que visibilidade, velocidade de contenção e proteção de identidade são fundamentais para impedir que um acesso inicial aparentemente limitado se transforme em um incidente de grande escala.
