O que fazer durante um ataque de ransomware: plano de resposta passo a passo

Se você está procurando o que fazer durante um ataque de ransomware, é preciso agir rapidamente, mas sem entrar em pânico. O principal objetivo nos primeiros minutos é interromper a propagação do malware, preservar evidências, proteger backups e preparar uma recuperação segura. Neste artigo, abordaremos uma ordem prática de ações para empresas e usuários domésticos: como reconhecer ransomware, o que desligar, a quem notificar, se pagar o resgate e como reduzir o risco de um novo ataque.

Um ransomware bloqueia o acesso a arquivos e sistemas e depois pede um resgate pela chave de descriptografia. Às vezes, os criminosos também roubam dados e ameaçam a publicação. Portanto, a resposta deve levar em conta não apenas a recuperação de arquivos, mas também uma possível violação de informações.

Um breve plano para os primeiros 15 minutos

Abaixo está um algoritmo resumido que ajuda a ganhar tempo e reduzir danos. Ele é adequado para a maioria dos casos em que arquivos criptografados aparecem em um computador, uma nota de resgate ou erros massivos de acesso a dados.

1. Isolar o dispositivo infectado da rede. Desconecte o cabo Ethernet, Wi-Fi e VPN. Não conecte drives externos.
2. Não exclua a nota dos sequestradores e arquivos suspeitos. Eles podem ser necessários para investigação e para encontrar um descriptografador.
3. Não reinicie o computador sem a orientação de um especialista. Às vezes, após a reinicialização, os rastros do ataque são perdidos ou a criptografia continua.
4. Notifique o responsável pela TI ou segurança da informação. Se você estiver em casa, registre a hora do incidente e fotografe a tela.
5. Desconecte pastas compartilhadas e armazenamento em rede, se houver acesso. É importante interromper a propagação via SMB, RDP, VPN e outros canais.
6. Verifique os backups, mas não conecte-os ao ambiente infectado. Os backups devem ser protegidos contra sobrescrita e infecção.
7. Coletar dados mínimos. Nome do dispositivo, usuário, hora da detecção, extensões de arquivos criptografados, texto da exigência de resgate.
8. Não pague imediatamente. Primeiro, avalie a extensão, a disponibilidade de backups, os riscos legais e a possibilidade de descriptografia gratuita.

Como saber se isso é um ataque de ransomware

Nem toda corrupção de arquivo significa ransomware. No entanto, há sinais que, em conjunto, quase sempre indicam um ataque de ransomware.

Principais sinais de infecção

Os sintomas típicos são:

• arquivos receberam uma nova extensão incomum;
• documentos, bancos de dados, fotos ou arquivos zip deixaram de abrir;
• notas de resgate apareceram nas pastas;
• a área de trabalho mudou para uma mensagem ameaçadora;
• antivírus, EDR ou SIEM registraram uma alteração massiva de arquivos;
• servidores começaram a trabalhar lentamente, e os discos estão gravando dados ativamente;
• usuários perderam acesso a pastas de rede;
• contas inesperadamente bloqueadas ou acessadas a partir de endereços inusitados;
• logs mostram conexões via RDP, PowerShell, PsExec ou scripts suspeitos.

A situação é especialmente grave quando a criptografia ocorre simultaneamente em vários computadores ou servidores de arquivos. Isso significa que os criminosos já podem ter obtido direitos administrativos.

O que não deve ser considerado como prova por si só

Um arquivo danificado, um erro de disco ou uma falha de programa nem sempre estão relacionados a sequestradores. Portanto, é importante não tirar conclusões precipitadas. Primeiro, verifique os logs, eventos antivírus, histórico de logins e estado de outros dispositivos. Mas se houver uma nota de resgate e renomeação massiva de arquivos, reaja como em um incidente real.

Passo a passo de resposta ao incidente

Durante um ataque de ransomware, é importante agir de forma sistemática. Ações caóticas dificultam a investigação e podem aumentar os danos. Abaixo está uma ordem prática que pode ser usada como uma lista de verificação.

Passo 1. Nomeie um coordenador

Na empresa, deve haver um único coordenador responsável: diretor de TI, especialista em segurança da informação, chefe de turno ou especialista externo. Ele registra decisões, distribui tarefas e evita ações conflitantes.

Para um usuário doméstico, a função do coordenador é mais simples: registre a hora da detecção, o que aconteceu antes do incidente, quais dispositivos estavam conectados e quais arquivos foram afetados.

Passo 2. Isolar sistemas infectados

A isolação é a principal prioridade. Desconecte a rede em dispositivos infectados, mas não comece a desligar tudo de forma aleatória sem um plano. Se a criptografia estiver ativa em um servidor de arquivos, pode ser necessário desativar imediatamente a interface de rede ou bloquear o acesso a recursos compartilhados.

O que fazer:

• desconectar cabos de rede em estações de trabalho infectadas;
• desligar Wi-Fi e clientes VPN;
• bloquear contas suspeitas;
• restringir temporariamente RDP, SMB e conexões administrativas;
• desativar a sincronização de pastas na nuvem, caso esteja disseminando arquivos criptografados;
• separar servidores críticos da rede de usuários.

O que evitar: não conecte drives USB, discos externos e mídias de backup ao computador infectado. Isso pode criptografar a única cópia dos dados.

Passo 3. Preserve as evidências

As evidências ajudam a entender o caminho de infiltração e a encontrar uma forma de recuperação. Não exclua a nota de resgate, arquivos executáveis suspeitos, arquivos compactados, scripts e logs. Se possível, faça uma imagem do disco ou um snapshot da máquina virtual.

É útil preservar:

• capturas de tela das mensagens de resgate;
• exemplo de um arquivo criptografado e seu original, se disponível;
• texto da exigência de resgate;
• logs do Windows, Linux, VPN, firewall, gateway de email e EDR;
• lista de processos ativos e conexões de rede;
• informações sobre a hora da primeira atividade.

Não envie arquivos confidenciais para sites aleatórios para verificação. Utilize apenas serviços confiáveis e delete dados pessoais ou comerciais, se possível.

Passo 4. Desative contas dos criminosos

Muitos ataques modernos de ransomware começam não com um arquivo viral, mas com uma senha roubada. Os criminosos acessam via VPN, RDP, painel na nuvem, email ou conta de administrador. Portanto, é importante verificar rapidamente acessos suspeitos.

Ações:

• desative contas que foram identificadas em acessos suspeitos;
• mude as senhas dos administradores a partir de um dispositivo limpo;
• revogue sessões VPN ativas e tokens;
• verifique regras de encaminhamento no email;
• ative a MFA onde ainda não estava;
• verifique novas contas e mudanças em grupos de administradores.

É importante mudar as senhas somente após isolar os sistemas infectados. Se o computador estiver executando malware, ele pode interceptar novas credenciais.

Passo 5. Determine a escala do ataque

Antes da recuperação, você precisa entender o que exatamente foi infectado. Caso contrário, você corre o risco de levantar um sistema onde o criminoso ainda está presente.

Verifique:

• estações de trabalho dos usuários;
• servidores de arquivos e pastas de rede;
• controladores de domínio;
• servidores de backup;
• hipervisores e armazenamentos de máquinas virtuais;
• diretórios em nuvem e serviços SaaS;
• caixas de email e regras de encaminhamento;
• logs de VPN, firewall e proxy.

Crie uma lista de sistemas em três categorias: infectados, suspeitos, condicionalmente limpos. Em seguida, atualize à medida que a investigação avança.

Passo 6. Proteja os backups

Backups são o principal recurso na recuperação após um ransomware. Mas muitos ataques são especificamente direcionados a servidores de backup. Portanto, não comece a recuperação até ter certeza de que as cópias não estão danificadas e não são acessíveis aos criminosos.

Verifique se há:

• cópias offline em dispositivos desconectados;
• backups imutáveis, como armazenamento imutável;
• cópias de antes da data de comprometimento;
• contas separadas para o sistema de backup;
• logs de exclusão, sobrescrita ou tentativas de backup falhadas.

Se os backups estiverem na nuvem, verifique o histórico de versões, a lixeira, as configurações de acesso e os logs de login.

Passo 7. Escolha uma estratégia de recuperação

Existem três opções principais: recuperar a partir de backups, descriptografar usando uma ferramenta disponível ou reinstalar completamente com transferência de dados limpos. Muitas vezes, uma combinação é utilizada.

Situação	Melhor Ação	O Que Evitar
Existem backups limpos	Reinstalar sistemas e recuperar dados a partir dos backups	Recuperar sobre um sistema operacional infectado
Há um descriptografador conhecido	Testá-lo em cópias dos arquivos	Executar utilitários não verificados de autores desconhecidos
Não há backups	Salvar imagens dos discos e recorrer a especialistas	Excluir arquivos criptografados e formatar discos imediatamente
Há sinais de vazamento de dados	Consultar advogados e a gestão	Ocultar o incidente das partes responsáveis
A infraestrutura de domínio está infectada	Recuperar o ambiente de confiança a partir do zero ou de cópias limpas	Apenas mudar senhas e reiniciar servidores

Devo pagar o resgate?

A resposta curta: não deve pagar, enquanto opções seguras não foram esgotadas. O pagamento não garante a descriptografia, não garante a exclusão de dados roubados e pode criar riscos jurídicos e reputacionais adicionais. Além disso, você está mostrando aos criminosos que a organização está disposta a pagar.

No entanto, na vida real, a decisão às vezes é considerada se estamos falando de infraestrutura crítica, ameaça à vida das pessoas ou ausência total de cópias recuperáveis. Nesse caso, a decisão deve ser tomada pela gestão junto com advogados, especialistas de segurança e, se necessário, as autoridades. É importante considerar restrições sancionatárias e o risco de financiamento de grupos criminosos.

Antes de qualquer decisão, verifique:

• se existem backups funcionando;
• se o tipo de ransomware é conhecido;
• se existe um descriptografador gratuito;
• se dados foram roubados;
• quais leis e obrigações contratuais se aplicam;
• como o pagamento afetará a segurança futura.

Se os criminosos enviaram uma suposta prova de descriptografar um arquivo, isso ainda não garante a recuperação de toda a infraestrutura.

Onde encontrar um descriptografador?

Às vezes, os arquivos podem ser recuperados sem pagar o resgate. Para algumas famílias de ransomware, descriptografadores gratuitos são publicados. Você pode começar com projetos conhecidos de combate a sequestradores, como No More Ransom, sites de fabricantes de antivírus e recomendações de centros nacionais de cibersegurança.

Antes de usar o descriptografador:

1. Faça cópias dos arquivos criptografados.
2. Preserve os arquivos originais inalterados.
3. Execute a ferramenta em uma máquina isolada.
4. Verifique a fonte do download.
5. Teste a descriptografia em um pequeno conjunto de dados.

Não confie em sites que prometem descriptografar todo ransomware. Não existe um descriptografador universal.

Recuperação após um ataque de ransomware

A recuperação não é apenas o retorno de arquivos. É preciso garantir que o criminoso não tenha mais acesso e que a vulnerabilidade pela qual ocorreu o ataque seja fechada.

Recupere apenas em um ambiente limpo

A melhor abordagem é implantar novos sistemas ou restaurá-los a partir de imagens definitivamente limpas. Em seguida, instale atualizações, configure proteções, mude senhas e só depois transfira dados a partir de backups verificados.

Não é apropriado simplesmente excluir o arquivo malicioso e continuar trabalhando. Grupos modernos de sequestradores muitas vezes deixam várias formas de reinfiltração: novas contas, tarefas de agendamento, web shells, políticas alteradas, tokens de acesso e ferramentas ocultas de controle remoto.

Verifique a data de comprometimento

A infecção pode ter começado dias ou semanas antes da criptografia. Se você restaurar uma cópia muito recente, pode trazer de volta para a rede um sistema que já estava comprometido. Portanto, procure sinais precoces: primeiro acesso suspeito, execução de script, criação de uma nova conta, desativação de proteção, escaneamento de rede.

Teste os dados antes de reiniciar os negócios

Antes de retornar os sistemas às operações, verifique a integridade dos bancos de dados, permissões de acesso, funcionamento de aplicativos e relevância das configurações. Para serviços críticos, realize um teste em um segmento isolado.

Ordem útil:

1. Restaurar serviços de infraestrutura: domínio, DNS, DHCP, autenticação.
2. Restaurar sistemas de segurança: EDR, SIEM, logs, backups.
3. Acionar aplicativos críticos para os negócios.
4. Verificar os dados e permissões de acesso.
5. Conectar usuários por grupos, não todos de uma vez.
6. Monitorar a rede após o lançamento.

O que fazer durante um ataque de ransomware para empresas

Para uma organização, um incidente de ransomware não afeta apenas a TI. Ele afeta operações, clientes, contratos, dados pessoais e finanças. Portanto, é importante envolver imediatamente os departamentos de gestão e jurídico.

Organize as comunicações

Nomeie responsáveis pela comunicação interna, interação com clientes, parceiros e contratados. Não faça promessas não verificadas. É melhor informar fatos: quais serviços estão indisponíveis, o que já foi feito, quando haverá nova atualização.

Os funcionários devem ser informados sobre:

• quais sistemas não devem ser reiniciados;
• onde relatar arquivos e emails suspeitos;
• se é permitido usar dispositivos pessoais;
• quais canais de comunicação são oficiais;
• quem toma decisões sobre a recuperação.

Avalie o risco de vazamento de dados

Se os criminosos tiveram acesso à rede, não se pode excluir o roubo de informações. Verifique o tráfego de saída, arquivos arquivados, uploads em nuvem, logs de proxy, email e ações de contas privilegiadas. Se dados pessoais, segredos comerciais ou dados de clientes puderam ser afetados, envolva advogados e estabeleça obrigações de notificação.

Em diferentes países e setores, existem requisitos diferentes. Portanto, não há um modelo universal de notificação. Mas ocultar um incidente dentro da organização é perigoso: isso dificulta a investigação correta e aumenta o risco de um novo ataque.

Consulte especialistas se não houver experiência

Se servidores, domínio, backups ou várias plataformas estão infectados, é melhor envolver uma equipe de resposta a incidentes (incident response). Os especialistas ajudarão a preservar evidências, encontrar o ponto de entrada, avaliar o vazamento e construir um plano seguro de recuperação.

O que fazer para usuários domésticos

Se um ransomware atacou o computador pessoal, o processo é mais simples, mas os princípios permanecem os mesmos.

Faça o seguinte:

1. Desconecte o computador da internet e da rede doméstica.
2. Não conecte um disco externo com fotos ou arquivos zip.
3. Fotografe a mensagem dos sequestradores.
4. Copie alguns arquivos criptografados e a nota em um meio separado, se o especialista pedir isso.
5. Verifique outros dispositivos na casa.
6. Mude as senhas de email, bancos, serviços de nuvem e redes sociais a partir de um dispositivo limpo.
7. Verifique armazenamento em nuvem e histórico de versões de arquivos.
8. Descubra se há um descriptografador gratuito para o seu tipo de ransomware.
9. Reinstale o sistema ou procure um serviço, se não tiver certeza da limpeza do computador.

Se arquivos criptografados foram sincronizados na nuvem, não tenha pressa em limpar as pastas. Muitos serviços permitem restaurar versões anteriores ou reverter o estado do diretório.

Como prevenir um novo ataque

Após a recuperação, é necessário eliminar as causas do incidente. Caso contrário, o ataque pode se repetir por meio das mesmas credenciais ou vulnerabilidades.

Configure backups confiáveis

Uma boa estratégia de backup é baseada no princípio de várias cópias independentes. Um guia prático é armazenar dados em pelo menos locais diferentes e ter uma cópia que não possa ser rapidamente alterada a partir da rede de trabalho.

Verifique:

• a regularidade dos backups;
• testes automáticos de restauração;
• contas separadas para backup;
• proteção contra exclusão e sobrescrita;
• cópias offline ou imutáveis;
• documentação de recuperação de sistemas críticos.

Um backup que nunca foi verificado não pode ser considerado seguro.

Reforce acessos e contas

Grande parte do dano ocorre devido a direitos privilegiados. Limite o acesso administrativo, use MFA, desative contas não utilizadas e verifique regularmente os grupos de administradores.

Preste atenção especial ao RDP e ao VPN. Não deixe o RDP aberto na internet. Para acesso remoto, use VPN, MFA, restrições por IP e monitore logins.

Atualize e segmente a rede

Atualizações fecham vulnerabilidades conhecidas, e a segmentação impede que o ransomware rapidamente acesse todos os sistemas. Separe computadores de usuários, servidores, backups, sistemas de produção e estações de trabalho administrativas.

Além disso, são úteis:

• EDR ou proteção antivírus de qualidade;
• coleta centralizada de logs;
• filtragem de emails e anexos;
• proibição de macros a partir da internet;
• controle de execução de scripts;
• princípio de privilégio mínimo;
• treinamento de funcionários para phishing;
• plano de resposta a incidentes.

Perguntas frequentes sobre ataques de ransomware

É permitido desligar o computador durante um ataque de ransomware?

Se a criptografia estiver ativamente em andamento, a isolação da rede é mais importante. Um desligamento completo às vezes ajuda a parar o processo, mas pode destruir dados na memória RAM que são necessários para a investigação. Em uma empresa, é melhor primeiro desconectar a rede e chamar um especialista. Em casa, se o processo claramente estiver criptografando arquivos e não houver ajuda, o desligamento pode ser uma medida razoável para parar os danos.

Preciso excluir o vírus imediatamente?

Não se apresse. Primeiro, preserve as evidências e exemplos de arquivos. Em seguida, elimine o malware ou reinstale o sistema. Se você excluir tudo de uma vez, será mais difícil entender como o ataque ocorreu e quais dados podem ter sido afetados.

É possível recuperar arquivos sem backup?

Às vezes sim, se houver um descriptografador para aquela família específica de ransomware ou se os dados foram mantidos em cópias sombra, versões em nuvem, anexos de email ou em outros dispositivos. Mas não há garantia. Portanto, os backups continuam sendo o principal método de proteção.

O antivírus ajudará após a infecção?

O antivírus pode interromper parte dos processos maliciosos e localizar restos de malware. Mas ele nem sempre irá descriptografar arquivos e não substitui uma investigação. Após um ataque, é importante entender o ponto de entrada, alterar credenciais comprometidas e recuperar sistemas de uma fonte limpa.

O que fazer se um servidor 1C ou banco de dados foi criptografado?

Primeiro, isole o servidor e pare o acesso dos usuários. Em seguida, preserve uma cópia do banco de dados criptografado, logs e backups. Restaure o banco de dados apenas em um ambiente limpo e verifique sempre a integridade dos dados. Se o servidor estava em um domínio, verifique também contas, pastas de rede e servidores vizinhos.

Como saber se dados foram roubados?

Você deve analisar logs de tráfego de saída, atividades de contas, arquivamento de arquivos, conexões com serviços em nuvem e ferramentas utilizadas pelos criminosos. A ausência de provas explícitas não significa que não houve vazamento. Se os dados forem sensíveis, é melhor conduzir uma investigação completa.

A quem contatar após um ataque?

As empresas devem consultar especialistas em resposta a incidentes, advogados, seguradoras, caso haja seguro contra ciberataques e, se necessário, as autoridades. O usuário doméstico pode procurar um centro de serviço confiável e buscar um descriptografador em recursos confiáveis.

Plano de ação final

Durante um ataque de ransomware, o mais importante é não pagar em pânico e não recuperar sistemas às cegas. Primeiro, isole os dispositivos infectados, preserve as evidências, proteja os backups e determine a extensão do incidente. Em seguida, recupere dados apenas em um ambiente limpo, altere acessos comprometidos e feche o ponto de entrada. Comece com a isolação agora mesmo, registre os sinais do ataque e envolva especialistas, caso servidores, backups ou dados importantes tenham sido afetados.