Kit anti-ransomware: como preparar a empresa para prevenir, conter e recuperar

Um roteiro prático, alinhado ao #StopRansomware Guide da CISA, para reduzir a chance de um ataque, limitar o estrago se ele acontecer e voltar a operar a partir de backups confiáveis.

7 min de leitura

Ransomware deixou de ser um problema só de TI. Quando ele acontece, a empresa para de faturar, de atender e, muitas vezes, ainda enfrenta a ameaça de ver dados de clientes publicados. A boa notícia é que a maior parte do que protege uma empresa é conhecida, documentada e está ao alcance de qualquer time de TI organizado.

Este kit segue a estrutura do #StopRansomware Guide, publicado em conjunto pela CISA, FBI, NSA e MS-ISAC e disponível gratuitamente. A primeira parte trata de preparação e prevenção. A segunda é um checklist de resposta para o dia em que algo der errado.

Resumo rápido

O ataque costuma entrar por um serviço exposto na internet, uma credencial roubada ou um phishing, depois se espalha pela rede e só então criptografa e rouba dados.
A preparação mais importante é ter backups offline ou imutáveis, criptografados e testados, mais um plano de resposta impresso e ensaiado.
MFA resistente a phishing, atualização dos sistemas expostos, segmentação da rede e senhas únicas de administrador local reduzem a entrada e o espalhamento.
Na resposta, a ordem importa: isolar os sistemas afetados, preservar evidências, comunicar quem precisa ser comunicado e restaurar a partir de cópias limpas.

Como o ataque costuma avançar

Os ataques variam, mas a maioria percorre três etapas. Entender cada uma ajuda a decidir onde colocar defesa.

1. A porta de entrada. O guia da CISA lista os vetores de acesso inicial mais comuns: vulnerabilidades e configurações erradas em serviços expostos na internet, credenciais comprometidas, phishing, infecção prévia por outro malware, engenharia social mais elaborada e o acesso por terceiros e provedores de serviço.

2. O espalhamento. Já dentro da rede, o invasor procura senhas, ganha privilégio de administrador e avança de máquina em máquina. É nessa fase que ele costuma localizar e tentar destruir os backups.

3. Criptografia e extorsão. Os dados são criptografados e, com frequência, copiados antes. O guia chama de dupla extorsão a combinação das duas táticas: a vítima é pressionada a pagar para recuperar os dados e para que eles não sejam publicados.

Parte 1: preparar antes do ataque

Backups que o invasor não alcança

O guia é direto: mantenha backups offline e criptografados dos dados críticos e teste regularmente a disponibilidade e a integridade deles num cenário de recuperação. A razão é que muitas variantes de ransomware procuram backups acessíveis para apagá-los ou criptografá-los.

Na prática, isso significa ao menos uma cópia isolada, offline ou imutável, que não possa ser apagada nem por um administrador comprometido, e testes de restauração cronometrados. O guia também recomenda manter golden images atualizadas dos sistemas críticos, com sistema operacional e aplicações pré-configurados, para reconstruir servidores rapidamente. Explicamos como montar isso em detalhe no artigo sobre backup 3-2-1 na prática.

Um plano de resposta impresso e ensaiado

No meio da crise, ninguém deveria estar decidindo quem avisa quem. O guia recomenda criar, manter e exercitar regularmente um plano de resposta a incidentes e um plano de comunicação, com uma cópia impressa e uma versão offline, porque os sistemas onde o plano está guardado podem estar indisponíveis justamente no dia do ataque.

Um bom plano responde, no mínimo:

Quem decide isolar a rede ou desligar um link, e quem pode ser acionado fora do horário.
Os contatos de fornecedores, seguradora, assessoria jurídica e de quem conduz a investigação.
Quais sistemas voltam primeiro, em que ordem e com qual tempo de recuperação esperado.
Quem fala com clientes, colaboradores e imprensa, e com quais mensagens.

Fechar as portas de entrada

MFA resistente a phishing em todos os serviços, com prioridade para e-mail, VPN e contas que acessam sistemas críticos.
Atualização e varredura de vulnerabilidades, com atenção especial aos equipamentos expostos na internet, como firewalls, VPNs e servidores de acesso remoto.
RDP limitado. Se o acesso remoto à área de trabalho for necessário, nada de porta aberta direto para a internet: acesso por VPN ou gateway, MFA, bloqueio por tentativas falhas e registro dos logins.
Filtro de e-mail e conscientização, para que a mensagem maliciosa chegue menos e seja reconhecida quando chegar.

Dificultar o espalhamento

Segmentação da rede, para que um computador comprometido não enxergue servidores, backups e sistemas de gestão.
Menor privilégio, com contas administrativas separadas das contas do dia a dia.
Senhas únicas de administrador local em cada máquina, com uma solução como o Windows LAPS, para que uma senha roubada não abra todas as portas.
EDR ou allowlisting de aplicações em todos os ativos, e logs centralizados com retenção suficiente para reconstruir o que aconteceu.

Parte 2: checklist de resposta

Detecção e análise

Identifique os sistemas afetados e isole-os imediatamente. Se várias máquinas ou sub-redes parecem comprometidas, o guia orienta tirar a rede do ar no nível do switch.
Desligue equipamentos só se não for possível desconectá-los da rede. Desligar evita o espalhamento, mas apaga evidências que estão na memória.
Faça a triagem dos sistemas para restauração, priorizando os críticos para a operação.
Examine o que as ferramentas de detecção já registraram, como antivírus, EDR e IDS, em busca de um malware precursor, que pode indicar por onde o invasor entrou e se ele ainda tem acesso.
Documente tudo: o que foi visto, quando e quais decisões foram tomadas.

Contenção e erradicação

Antes de reconstruir, colete uma imagem do disco e uma captura de memória de uma amostra dos equipamentos afetados, para a investigação.
Envolva especialistas em resposta a incidentes se o seu time não tiver experiência com esse tipo de caso.
Reconstrua os sistemas a partir de imagens limpas, não apenas "limpe" o que foi comprometido.

Comunicação

LGPD. Se o incidente puder causar risco ou dano relevante aos titulares de dados pessoais, o controlador deve comunicar a ANPD e os titulares. Pela Resolução CD/ANPD nº 15/2024, o prazo é de três dias úteis a partir do conhecimento de que o incidente afetou dados pessoais.
Pagamento de resgate. As agências que assinam os alertas #StopRansomware não incentivam o pagamento, porque ele não garante a recuperação dos arquivos e ainda pode estimular novos ataques e financiar atividades ilegais. É uma decisão que envolve a diretoria, o jurídico e, quando houver, a seguradora.

Recuperação

Restaure a partir de backups verificados, começando pelos sistemas críticos definidos no plano.
Faça a redefinição de senhas dos sistemas e contas afetados quando o ambiente estiver limpo.
Ao final, reúna as lições aprendidas e atualize o plano, os controles e os testes.

Por onde começar

Ninguém precisa fazer tudo de uma vez. Uma ordem que funciona bem para a maioria das empresas:

Garantir uma cópia de backup isolada e testar uma restauração completa de um sistema crítico.
Exigir MFA em e-mail, VPN e acessos administrativos.
Revisar o que está exposto na internet e atualizar o que estiver pendente.
Escrever e imprimir o plano de resposta, e ensaiá-lo uma vez com o time.
Avançar em segmentação, privilégios e monitoramento.

A Lavineda é revenda Veeam e Fortinet, e trabalha junto com o time de TI do cliente nessas frentes. Se preferir que o acompanhamento contínuo da segurança fique com a nossa equipe, veja como funciona o Cyber Care.

Fontes

O próximo passo

Saber como a empresa reagiria a um ataque é muito melhor antes do que durante. Numa conversa de diagnóstico gratuita, você conta como estão hoje o backup, o acesso remoto e o plano de resposta, nós damos um retorno honesto sobre o que já está bem e o que falta, e você sai com os próximos passos, sem compromisso.