Os arquivos estavam sendo criptografados quando o telefone tocou: um case de ransomware contido em tempo real

O telefone tocou no meio do dia e do outro lado estava um dos sócios de um escritório de advocacia de referência em Belo Horizonte. A frase dele foi mais ou menos assim: os arquivos do servidor estão com nomes estranhos.

Quem trabalha com TI reconhece essa frase na hora. Arquivo que muda de nome sozinho, em massa, com extensão que ninguém conhece, é a assinatura de um ransomware em execução. Não é um problema que aconteceu. É um problema acontecendo, naquele minuto, enquanto a conversa rola.

Este artigo conta o que foi feito naquele dia, na ordem em que foi feito, e o que essa história ensina para qualquer empresa que guarda informação sensível de terceiros.

A primeira decisão foi desligar da tomada

A orientação imediata, ainda no telefone, foi tirar o servidor da tomada.

Essa instrução costuma soar errada para quem está do outro lado. Desligar um servidor no braço, sem encerrar nada, é exatamente o que todo mundo aprende a não fazer. Pode corromper arquivo, pode dar problema no banco de dados, pode deixar o sistema inconsistente.

Só que a conta muda completamente quando existe um ransomware rodando.

Enquanto a máquina está ligada, o programa malicioso continua criptografando arquivo atrás de arquivo, e pode continuar se espalhando pela rede para outros computadores. Cada minuto de servidor ligado é mais material perdido e mais máquinas contaminadas. O risco de um desligamento abrupto é conhecido e limitado. O risco de deixar ligado é ilimitado.

É a diferença entre estragar a porta arrombando ela e deixar o incêndio consumir a casa inteira enquanto você procura a chave.

Junto com a orientação, a equipe da Hype saiu para o cliente. Ransomware em andamento não se resolve por acesso remoto e telefone.

O que foi encontrado no local

No escritório, a máquina foi iniciada de uma forma diferente do normal: em vez de ligar o sistema que estava instalado nela, o servidor foi inicializado por fora, a partir de um sistema Linux com ferramentas de análise.

Vale explicar por que isso importa, porque é o ponto mais técnico da história e tem uma lógica simples por trás. Se você liga a máquina normalmente, o programa malicioso volta a rodar junto com o sistema e continua o estrago. Iniciando por fora, o disco fica acessível para leitura e análise, mas nada do que estava instalado é executado. É como entrar no prédio pela escada de incêndio em vez de usar o elevador que pode estar comprometido.

O diagnóstico confirmou o ataque em andamento. E mostrou algo que, infelizmente, não é raro: o ambiente estava completamente exposto.

Não havia antivírus em operação. Não havia gestão de segurança. A rede era aberta, sem a separação e os controles que um ambiente com dados sensíveis exige. Em outras palavras, o ataque não precisou vencer nenhuma barreira, porque não existia barreira para vencer.

Isso é importante para desfazer uma imagem equivocada que muita gente tem. A cena que as pessoas imaginam é a de um criminoso genial quebrando uma proteção sofisticada. A realidade quase sempre é o contrário: o ataque é comum, automatizado, e encontra a porta destrancada. Escrevemos sobre como ele costuma chegar em phishing: como golpes por e-mail enganam até a equipe mais atenta.

Uma palavra sobre pagar o resgate

É a primeira pergunta que aparece quando alguém vive isso, então vale tratar com franqueza, mesmo não tendo sido o caminho nesse case.

Ransomware é um sequestro de arquivos. O criminoso embaralha os seus dados com uma chave que só ele tem e cobra para devolver a chave. A oferta é sempre tentadora no desespero, porque parece o caminho mais curto de volta à operação.

O problema é que você não está negociando com uma empresa. Não existe garantia nenhuma de que a chave venha, de que ela funcione em tudo, ou de que os dados não tenham sido copiados antes de serem embaralhados. Em muitos casos, além de criptografar, o criminoso leva uma cópia e usa isso como segunda ameaça: pague de novo ou publicamos. Para um escritório que guarda estratégia processual e informação de cliente, essa segunda ameaça é pior que a primeira.

Existe ainda o efeito de longo prazo. Quem paga entra numa lista de quem paga, e essa lista circula.

Por isso a resposta séria a um ataque não passa por negociação. Ela passa por três coisas que precisam existir antes: backup que já foi testado em restauração, ambiente monitorado que avisa cedo, e alguém capaz de agir na hora certa. Quando esses três existem, o resgate deixa de ser uma decisão, porque você simplesmente restaura e segue.

O case deste artigo não terminou em pagamento. Terminou em contenção rápida, recuperação do possível e reconstrução completa.

O que foi feito, em ordem

A operação seguiu quatro movimentos, e a ordem importa tanto quanto o conteúdo.

Contenção. Interromper a propagação antes de qualquer outra coisa. Nada de tentar entender tudo enquanto o estrago continua.

Diagnóstico. Entender a extensão real: o que foi atingido, o que ainda estava íntegro, por onde entrou e até onde chegou.

Recuperação do que era possível. Backup de tudo que ainda podia ser salvo, antes de qualquer intervenção destrutiva no ambiente.

Reconstrução. Formatação do servidor, reinstalação completa de todas as máquinas, e reestruturação da rede inteira.

Repare no quarto ponto, porque é onde mora a decisão mais difícil dessa história.

O tamanho real da operação

Para dar dimensão ao que isso significa na prática, os números desse atendimento:

O servidor foi formatado, teve os backups restaurados e voltou a funcionar em um dia. As estações levaram mais dois dias de formatação e reinstalação, porque eram cerca de 70 computadores. No total, três dias entre um escritório parado com os arquivos sequestrados e um ambiente reconstruído do zero, rodando.

E aqui está o detalhe que muda tudo nessa conta: o escritório tinha backup, e o backup funcionou.

É por isso que o servidor voltou em um dia, e não em três semanas de tentativa de recuperar arquivo criptografado, que é o que costuma acontecer quando não existe cópia. O backup não impediu o ataque, mas foi ele que transformou um desastre permanente em uma interrupção de alguns dias.

Por que não bastou limpar

Existe uma tentação enorme, depois de conter um ataque, de simplesmente limpar o que deu e voltar a operar. É mais rápido, é mais barato e o escritório volta a trabalhar ainda naquela semana.

O problema é que ninguém consegue garantir que sobrou nada. Ransomware moderno costuma chegar acompanhado. Existe frequentemente um acesso residual, uma conta criada, um programa dormindo à espera do momento seguinte. Você limpa o que viu, declara resolvido, e três meses depois tudo recomeça, só que agora o cliente já não acredita mais em ninguém.

Por isso a escolha foi reconstruir, não remendar. Servidor formatado, máquinas reinstaladas do zero, rede redesenhada. Dá muito mais trabalho e é a única forma de poder olhar para o sócio e dizer que o ambiente está limpo de verdade.

Depois da reconstrução veio a parte que evita a repetição: implantação de antivírus gerenciado, monitoramento contínuo e gestão de segurança. E a Hype passou a cuidar do ambiente daquele escritório a partir dali.

O resultado: desde que assumimos o ambiente, o escritório nunca mais teve nenhum incidente de segurança.

Três lições que valem para a sua empresa

A primeira decisão é a que mais importa, e ela não é técnica. Quem ligou não tentou resolver sozinho, não esperou para ver se melhorava, não pesquisou no Google antes. Ligou imediatamente e executou a orientação que recebeu, mesmo parecendo contraintuitiva. Muita empresa perde o ambiente inteiro no tempo que passa tentando entender o que está acontecendo. Se um dia você vir arquivos mudando de nome sozinhos, desligue da tomada e chame ajuda, nessa ordem.

Ransomware não escolhe alvo pelo tamanho, escolhe pela facilidade. Escritórios de advocacia são visados justamente por combinarem duas coisas: dados extremamente sensíveis e, na média do mercado, TI desprotegida. É um alvo de alto valor e baixa dificuldade. A pergunta certa não é se a sua empresa é grande o bastante para ser atacada, é se ela é fácil o bastante.

Backup não evita o ataque, mas define o tamanho do estrago. Sem ele, a conversa deixa de ser sobre quantos dias e passa a ser sobre o que se perdeu para sempre. Vale a pergunta: o seu backup já foi testado em restauração de verdade, ou só existe no relatório?

Depois do incidente existe uma escolha, e quase todo mundo erra. A escolha não é entre limpar e reconstruir. É entre voltar para o mesmo modelo que permitiu o ataque, ou mudar de modelo. Quem volta para a TI reativa está apenas marcando um novo encontro com o mesmo problema. Falamos dessa diferença em MSP, suporte avulso ou técnico de confiança.

Sobre o que você não vê nesta história

Vale um parágrafo de honestidade.

Esse case terminou bem por duas razões, e nenhuma das duas foi a proteção que existia no ambiente. A primeira foi a velocidade da resposta. A segunda foi o backup, que existia e estava íntegro.

Se a mesma ligação tivesse acontecido numa sexta à noite, com a descoberta só na segunda de manhã, a conversa seria outra. E se não houvesse backup, os três dias de reconstrução não teriam devolvido os arquivos, apenas um ambiente limpo e vazio.

O que faltava naquele escritório não era capacidade de reagir. Era tudo que vem antes: antivírus gerenciado, monitoramento que avisa cedo e uma rede desenhada para conter em vez de espalhar. Foi exatamente isso que passou a existir depois.

É por isso que insistimos tanto no que vem antes. Recuperação é o plano B. Sobre quanto tempo uma empresa leva para voltar quando o plano A falha, escrevemos em quanto tempo sua empresa leva para se recuperar de um ataque.

Se você guarda dado sensível de cliente

Advocacia foi o cenário aqui, mas o padrão vale para contabilidade, saúde, gestora de investimentos e qualquer negócio que administre informação que não é dele.

Se quiser ver como estruturamos TI para escritórios de advocacia, com a exigência de sigilo que o segmento tem, temos uma página específica sobre isso.

E se a leitura deste artigo te deixou com a sensação de que o seu ambiente talvez esteja mais parecido com o do começo dessa história do que com o do fim, essa sensação merece ser verificada. É muito mais barato descobrir hoje, com calma, do que às pressas no telefone.