Estes hackers achavam que o seu ransomware era invencível, até perceberem que deixaram a chave de encriptação à vista.

Um caso recente mostra como uma única linha de código mal feita pode transformar um ransomware “de ponta” numa sorte inesperada para um investigador de segurança - e, por vezes, numa tábua de salvação para vítimas que se recusam a pagar.

A ascensão do CyberVolk e o seu negócio alimentado pelo Telegram

O CyberVolk, um grupo de cibercrime acompanhado por investigadores de ameaças desde o final de 2024, situa-se numa zona cinzenta entre hacktivismo e lucro. Os seus operadores apresentam-se como politicamente motivados, frequentemente visando instituições públicas e organizações ligadas ao Estado. A sua mensagem apoia-se em tensões geopolíticas para justificar ataques que, ainda assim, se assemelham muito a crime organizado.

Após vários meses discretos, o grupo reapareceu em agosto de 2025 com uma estirpe de ransomware renovada, chamada VolkLocker. A reviravolta não veio do código em si, mas da forma como o malware era entregue e gerido. O VolkLocker funciona agora como um serviço que afiliados podem alugar, enquanto o CyberVolk orquestra tudo a partir de um painel de controlo baseado no Telegram.

O Telegram, amplamente usado tanto para ativismo como para coordenação criminosa, encaixa na sua estratégia. Através de uma interface ao estilo de bot, os operadores conseguem:

• Gerar novos executáveis maliciosos a pedido.
• Enviar comandos para máquinas infetadas.
• Recolher informações de sistema das vítimas.
• Acompanhar cada comprometimento como se fosse um número de encomenda numa loja.

Esta configuração industrializa o ransomware para utilizadores com capacidade técnica mínima. Um afiliado pode lançar um ataque com pouca compreensão de criptografia, mecanismos de persistência ou pivoting em rede. O modelo de serviço espelha o que já transformou kits de phishing e ferramentas de roubo de credenciais em produtos de apontar-e-clicar.

O VolkLocker transforma o ransomware em algo mais próximo de um produto por subscrição do que de uma ciberarma feita à medida, baixando a fasquia para aspirantes a extorsionistas.

No entanto, esta aposta na automação e na facilidade de utilização introduziu algo que o CyberVolk provavelmente não esperava: código frágil, funcionalidades apressadas e um erro grosseiro que comprometeu toda a operação.

Uma única chave partilhada no coração do VolkLocker

A maioria das famílias modernas de ransomware assenta em desenho criptográfico robusto. Tipicamente, cada vítima recebe um par de chaves único, muitas vezes gerado por sessão, e a chave privada de desencriptação nunca toca na máquina da vítima. Os atacantes guardam-na remotamente e só a libertam após pagamento. Esse modelo torna a desencriptação em massa praticamente impossível sem que as autoridades apreendam os servidores dos criminosos.

O VolkLocker desvia-se deste padrão. Em vez de gerar uma chave por vítima, o malware inclui uma única chave principal de encriptação compilada diretamente no executável. Na prática, isto significa que muitos ataques partilham o mesmo segredo criptográfico.

Do ponto de vista do atacante, este desenho já introduz risco. Equipas de segurança que façam engenharia reversa a uma amostra podem extrair a chave partilhada e reutilizá-la para ajudar outras vítimas. No entanto, os operadores do CyberVolk foram ainda mais longe ao manter uma função de depuração que nunca deveria ter saído do laboratório.

A funcionalidade de depuração esquecida que expôs tudo

Durante uma infeção, o VolkLocker cria um ficheiro temporário na máquina da vítima. Esse ficheiro contém três elementos:

• A chave principal de encriptação usada para bloquear os ficheiros.
• Um identificador único da vítima.
• O endereço Bitcoin para pagamento do resgate.

O ficheiro fica no disco em texto simples. Sem ofuscação. Sem encriptação local. Sem limpeza automática quando o malware termina o trabalho. Para equipas de resposta a incidentes familiarizadas com o comportamento de ransomware, este ficheiro é, na prática, um código de batota deixado em cima da mesa.

A mesma nota que ameaça destruir dados para sempre partilha discretamente a combinação do cadeado, se souber onde procurar na máquina.

Esta funcionalidade de “registo” quase de certeza começou como uma ferramenta interna de testes. Os programadores costumam guardar chaves e parâmetros no disco durante a depuração e depois remover essas funções das compilações finais. Aqui, essa limpeza nunca aconteceu. Quando o CyberVolk empacotou o VolkLocker para afiliados, o rasto de depuração foi incluído juntamente com o resto.

Investigadores que analisam infeções reais suspeitam que o grupo ou perdeu controlo do seu pipeline de compilação, ou não imaginou que parceiros semiqualificados continuariam a distribuir aquilo que, na prática, é uma versão beta. Seja como for, o resultado é o mesmo: algumas organizações atingidas pelo VolkLocker conseguem recuperar a chave a partir desse ficheiro temporário e restaurar os dados sem pagar resgate.

Porque é que muitas vítimas continuam a sofrer danos pesados

Uma chave visível pode soar como um golpe de sorte para os defensores. Na prática, o benefício continua imprevisível. Cada incidente segue a sua própria cronologia confusa.

Vários cenários podem neutralizar a vantagem:

• Ferramentas automatizadas de limpeza podem apagar ficheiros temporários antes de os investigadores chegarem.
• Funcionários podem reiniciar ou reinstalar sistemas, apagando vestígios da chave.
• O ficheiro da chave pode existir apenas em armazenamento volátil em algumas configurações.
• Corrupção parcial pode tornar alguns dados encriptados irrecuperáveis.

Entretanto, o próprio VolkLocker continua a comportar-se como um malware competente. Escala privilégios em sistemas Windows, contorna avisos padrão do Controlo de Conta de Utilizador (UAC) e dá prioridade a ficheiros de alto valor. Documentos, bases de dados e recursos de rede partilhados costumam ser atingidos antes de alguém notar comportamento invulgar.

Depois de executado, o ransomware passa, na prática, a controlar a máquina. Os atacantes podem implementar ferramentas adicionais em conjunto com o encriptador, como ladrões de credenciais ou shells remotas, para expandir a sua presença. Mesmo quando a desencriptação funciona, o comprometimento não desaparece por magia. O endpoint infetado precisa de isolamento, análise forense e, por vezes, uma reconstrução completa.

Recuperar ficheiros não apaga o facto de os atacantes terem tido tempo para circular dentro da rede e possivelmente copiar dados sensíveis.

O caso do CyberVolk também destaca uma mentalidade perigosa: a crença de que algumas operações de ransomware são suficientemente “amadoras” para serem ignoradas. Embora o erro criptográfico ajude algumas vítimas, o modelo mais amplo continua a ser prejudicial. O ransomware-as-a-service traz ataques repetíveis e escaláveis para pessoas sem verdadeiro historial em hacking.

Como o ransomware-as-a-service está a mudar a ameaça

O modelo do VolkLocker baseado no Telegram insere-se numa tendência maior em que a economia do cibercrime se divide em papéis. Os programadores principais tratam do código de encriptação, de truques anti-análise e da infraestrutura. Outros intervenientes atuam como afiliados, comprando ou alugando acesso a essas ferramentas e focando-se no comprometimento inicial: emails de phishing, credenciais de VPN roubadas, configurações fracas de acesso remoto por desktop.

Para muitos aspirantes a criminosos, este arranjo oferece algumas vantagens tentadoras:

• Baixo custo de entrada: não é preciso escrever malware nem gerir servidores.
• Iteração rápida: as equipas centrais lançam atualizações que os afiliados recebem automaticamente.
• Manual partilhado: tutoriais e canais no Telegram ou noutras plataformas orientam até utilizadores pouco hábeis.

O erro do CyberVolk com a chave de encriptação mostra o que acontece quando esse ecossistema apressa funcionalidades por conveniência. Um programador pode adicionar registos, gestão de chaves simplificada ou compatibilidade alargada para facilitar a vida aos clientes. Cada atalho pode criar discretamente uma abertura para os defensores.

Como as equipas de resposta a incidentes podem aproveitar falhas deste tipo

As equipas de segurança que enfrentam uma suspeita infeção por VolkLocker têm agora uma tarefa extra na lista: procurar ficheiros residuais que possam guardar a chave partilhada. Essa procura deve ocorrer o mais cedo possível, idealmente antes de qualquer limpeza automatizada ou reinstalação em massa.

Num fluxo de trabalho típico de investigação, os respondentes podem:

Passo	Objetivo
Isolar os sistemas afetados	Travar movimento lateral e exfiltração de dados.
Preservar dados voláteis e em disco	Manter ficheiros temporários e artefactos de memória intactos.
Procurar padrões conhecidos de ficheiros de chave	Localizar quaisquer chaves de encriptação ou IDs armazenados.
Testar a desencriptação em cópias	Validar chaves recuperadas sem arriscar perdas adicionais.
Reconstruir e reforçar os sistemas	Remover backdoors e fortalecer controlos de acesso.

A mesma abordagem aplica-se para além do CyberVolk. Analistas fazem frequentemente engenharia reversa a novas famílias de ransomware à procura de geradores de números aleatórios defeituosos, troca de chaves mal concebida ou armazenamento local descuidado. Quando grupos tratam malware como produtos de software em rápida evolução, erros lógicos e más configurações acabam por surgir inevitavelmente.

Porque é que os defensores não devem depender de erros dos atacantes

Embora a história do CyberVolk pareça quase irónica, contar com a incompetência criminosa seria uma estratégia arriscada. Outras equipas refinam constantemente o código, testam contra ferramentas forenses e adotam esquemas de encriptação mais distribuídos que não deixam caminho de recuperação, a não ser pagar ou apreender servidores de comando.

Para as organizações, o caminho mais fiável continua a estar noutro lado: backups offline ou logicamente separados, gestão rigorosa de atualizações, privilégios limitados para contas do dia a dia e autenticação forte para acessos remotos. Exercícios de mesa (tabletop) que simulem um incidente hipotético com VolkLocker ajudam equipas a identificar lacunas na deteção, escalonamento e comunicação antes de um ataque real impor decisões difíceis.

Do lado técnico, as equipas de segurança podem tratar o erro do VolkLocker como um caso de treino. Analistas novos em engenharia reversa podem praticar com amostras conhecidas por conterem chaves embutidas ou artefactos de depuração. Essa experiência torna-os mais rápidos a detetar erros semelhantes em futuras famílias de ransomware, onde o retorno pode ser muito maior.

Para decisores políticos e reguladores, a ascensão do ransomware-as-a-service orquestrado via Telegram levanta uma preocupação paralela: a facilidade com que atores de baixa competência conseguem alugar disrupção. Mesmo grupos desajeitados que tropeçam na própria encriptação podem, ainda assim, paralisar câmaras municipais, hospitais ou escolas durante dias. O ransomware tornou-se menos um ataque raro e de elite e mais uma ameaça disruptiva e persistente, que continua a escalar, alimentada por ferramentas baratas e engenharia social.