Ransomware desativa EDR e apaga backups antes de criptografar empresas
Grupos de ransomware estão ficando cada vez mais eficientes em um ponto crucial: antes de iniciar a criptografia em massa dos arquivos, eles tratam de desligar as defesas da empresa. Ferramentas de segurança, sistemas de backup e mecanismos de telemetria do Windows vêm sendo os primeiros alvos dos invasores, numa estratégia clara para reduzir a capacidade de detecção, resposta e recuperação após o ataque.
Em vez de simplesmente executar o malware e aguardar o resultado, os operadores de ransomware têm adotado um fluxo de ataque mais estruturado. Depois de conquistar acesso inicial ao ambiente – muitas vezes por meio de falhas em aplicações web, credenciais comprometidas ou phishing – eles fazem movimentos laterais, elevam privilégios e, só então, começam a derrubar as camadas de proteção. Nessa etapa, entram na mira as soluções de EDR (Endpoint Detection and Response), antivírus, agentes de backup e até serviços nativos do Windows responsáveis por registrar eventos.
Uma análise recente de dez famílias de ransomware com menores taxas de prevenção em 2026 trouxe um dado preocupante. Entre elas, o Play se destacou negativamente: apenas 13% de suas tentativas de ataque foram efetivamente bloqueadas pelos mecanismos de segurança avaliados. Em seguida apareceu o BlackByte, com taxa de prevenção de 25%, e o LockBit, com aproximadamente 30% dos ataques frustrados. Esses números evidenciam que, mesmo diante de investimentos em segurança, boa parte das campanhas ainda consegue ultrapassar as barreiras defensivas.
Um dos padrões mais recorrentes nesses ataques é a interrupção deliberada de ferramentas defensivas. O BabLock é um exemplo emblemático: em vez de depender exclusivamente de técnicas de ofuscação avançadas, ele utiliza um desinstalador legítimo para remover a proteção de endpoint instalada na máquina. Na sequência, encerra processos de antivírus, EDR, rotinas de backup e, em alguns cenários, até serviços de banco de dados, abrindo caminho para criptografar não apenas arquivos de usuários, mas também dados críticos de aplicações.
Após neutralizar as defesas, muitos grupos avançam para o apagamento de evidências. Em sistemas Windows, isso geralmente inclui a exclusão dos logs Security e System, que armazenam registros de autenticação, falhas, inicialização de serviços e outras atividades sensíveis. Com esses eventos apagados ou severamente reduzidos, as equipes de resposta a incidentes encontram enorme dificuldade para reconstruir a linha do tempo do ataque, identificar o ponto de entrada e avaliar a real extensão do comprometimento.
O LockBit 5.0 adota um caminho mais sofisticado, atacando diretamente o Event Tracing for Windows (ETW), um mecanismo central usado por soluções de segurança e monitoramento para coletar eventos do sistema. Ao interferir no ETW, o ransomware consegue impedir que determinados tipos de informação sejam registrados ou enviados para ferramentas de análise, o que reduz a visibilidade do que está acontecendo em tempo real. A consequência é um ambiente aparentemente normal, enquanto o ataque avança silenciosamente em segundo plano.
Além disso, diversas famílias de ransomware vêm combinando múltiplas técnicas para escapar da detecção: injeção de código em processos legítimos, execução diretamente na memória (fileless), alteração de chaves de Registro, mascaramento de arquivos com nomes e extensões comuns do sistema e abuso de binários nativos do próprio Windows (os chamados “living off the land binaries”). Ao utilizar programas confiáveis já presentes no sistema, os invasores diminuem o número de artefatos maliciosos explícitos, confundem soluções baseadas em assinaturas e prolongam o tempo de permanência no ambiente.
Outro ponto crítico é o ataque direto às rotinas de backup. Antes de iniciar a criptografia, muitos operadores mapeiam quais soluções de backup estão em uso e tentam desabilitar serviços, apagar versões anteriores e até comprometer repositórios de backup que estejam acessíveis pela rede. Quando o procedimento tem sucesso, a empresa deixa de contar com a principal alternativa para retomada das operações sem pagamento de resgate: a restauração de dados íntegros. Em cenários mais graves, os criminosos ainda exfiltram informações sensíveis, combinando criptografia com extorsão baseada em vazamento de dados.
Esse nível de sofisticação é potencializado pela evolução constante das técnicas de ataque. Em paralelo, cresce o número de falhas em aplicações web, que continuam sendo uma das principais portas de entrada para grupos de ransomware. Vulnerabilidades em frameworks, APIs mal configuradas, endpoints expostos sem autenticação adequada e falhas clássicas, como injeção de código e problemas de controle de acesso, abrem espaço para invasões silenciosas. Uma vez dentro do ambiente, os atacantes usam esse ponto de apoio para movimentação lateral e, eventualmente, para alcançar servidores de arquivos, controladores de domínio e infraestruturas de backup.
Para as empresas, isso significa que depender apenas de uma solução de antivírus ou de uma camada única de segurança não é mais suficiente. É necessário adotar uma estratégia em múltiplos níveis, que envolva EDR, monitoramento contínuo, segmentação de rede, autenticação forte, atualização constante de sistemas e aplicações, além de uma política robusta de backups. Esses backups devem ser testados regularmente e, sempre que possível, possuir cópias imutáveis ou armazenadas em ambientes isolados (offline ou em cofres digitais), de modo a permanecerem inacessíveis aos atacantes mesmo se a rede principal for comprometida.
Outra medida essencial é fortalecer a telemetria e a observabilidade do ambiente. Já que os grupos de ransomware miram diretamente em logs e mecanismos de coleta de eventos, as organizações precisam garantir que parte dessas informações seja enviada em tempo quase real para plataformas de registro e análise fora da infraestrutura comprometida. Dessa forma, mesmo que os registros locais sejam apagados, será possível reconstruir boa parte do cenário e reagir com mais precisão.
Além da tecnologia, processos e pessoas continuam sendo peças centrais nessa defesa. Treinamento recorrente de colaboradores, simulações de phishing, exercícios de resposta a incidentes e revisão periódica de procedimentos reduzem o tempo entre a detecção de um comportamento anômalo e a atuação efetiva da equipe. Em muitos casos, um alerta aparentemente irrelevante – como um serviço de segurança inesperadamente desativado ou um volume anormal de arquivos sendo modificados – pode ser o primeiro indício de uma campanha de ransomware em andamento.
Também é fundamental diferenciar testes superficiais de segurança de avaliações mais profundas. Scans automatizados podem ajudar a identificar vulnerabilidades óbvias, mas raramente reproduzem a criatividade e a insistência de um grupo criminoso real. Já um pentest bem conduzido, preferencialmente apoiado por técnicas modernas de análise, permite simular cadeias de ataque completas: desde o acesso inicial até a tentativa de desabilitar EDR, apagar logs, comprometer backups e escalar privilégios. Essa abordagem mostra com clareza onde estão os pontos mais frágeis do ambiente e quais correções devem ser priorizadas.
Por fim, é importante entender que o objetivo central dos grupos de ransomware vai além da simples criptografia de arquivos: eles querem tornar a recuperação autônoma da vítima a mais difícil possível. Ao desativar defesa, destruir backups e apagar rastros, os criminosos criam um cenário de caos técnico e pressão operacional que aumenta a chance de pagamento do resgate. Empresas que antecipam esse movimento, investem em redundância, visibilidade e resposta estruturada passam a ter mais condições de resistir a esse modelo de ataque e de reduzir, de forma concreta, o impacto de incidentes futuros.