Contexto: a paisagem pós-Operation Cronos
Em fevereiro de 2024, a Operation Cronos, operação policial coordenada pela Europol, pelo FBI e pela NCA do Reino Unido, perturbou significativamente a infraestrutura do LockBit, o então líder do mercado de ransomware. A operação resultou em 2 detenções (na Polónia e na Ucrânia), na apreensão de 34 servidores, no congelamento de mais de 200 contas de criptomoedas e na disponibilização gratuita de chaves de desencriptação. Uma fase posterior, em outubro de 2024, levou a mais 4 detenções.
O efeito, no entanto, foi temporário. O mercado de ransomware respondeu com fragmentação, dezenas de grupos menores surgiram para ocupar o vácuo deixado pelo LockBit 3.0. Grupos como o RansomHub emergiram como líderes temporários, mas o próprio RansomHub ficou offline a 1 de abril de 2025.
O DragonForce como operador de marketplace
O DragonForce distingue-se dos grupos tradicionais de ransomware por ter adotado em 2025 um modelo de "cartel" e de "white-label ransomware", anunciado em março de 2025, em que oferece a sua infraestrutura como serviço a outros grupos criminosos, funcionando como um marketplace de crime-as-a-service.
A aliança com LockBit 5.0 e Qilin, divulgada em outubro de 2025, expande este modelo. Segundo a ReliaQuest, a colaboração deverá permitir:
- Partilha de infraestrutura: recursos técnicos comuns entre os três grupos.
- Partilha de TTPs: técnicas de acesso inicial, evasão e movimento lateral partilhadas transversalmente.
- Reforço mútuo: a aliança pode ajudar a restaurar a reputação do LockBit junto dos afiliados após a operação policial de 2024 e aumentar a frequência e a eficácia dos ataques.
Implicação operacional: Um ataque que usa um indicador de comprometimento (IOC) do LockBit pode na realidade ser um ataque do Qilin, e vice-versa. Estratégias de defesa baseadas em blacklists de IOCs específicos de um grupo perdem eficácia num ecossistema com infraestrutura partilhada.
Implicações para o planeamento de resposta a incidentes NIS2
A formação da aliança tem consequências práticas para as organizações que desenvolvem planos de resposta a incidentes ao abrigo do art. 27.º do DL 125/2025 (art. 21.º da Diretiva NIS2):
Generalização dos indicadores
Os playbooks de resposta a ransomware devem ser construídos em torno de TTPs genéricos (movimentos laterais, uso de RMM tools, exfiltração para serviços cloud legítimos) em vez de IOCs específicos de um grupo. A análise comportamental em EDR/XDR torna-se mais relevante que bases de dados de hash de malware.
Preparação para dupla extorsão generalizada
Os três grupos da aliança operam dupla extorsão (encriptação + exfiltração). Os planos de resposta devem incluir procedimentos para:
- Avaliação rápida do volume e sensibilidade de dados potencialmente exfiltrados.
- Notificação preventiva ao CNCS e CNPD (violação de dados pessoais).
- Gestão de comunicação com stakeholders incluindo clientes e parceiros cujos dados possam estar comprometidos.
Exercícios de tabletop com cenários multi-grupo
Os exercícios de simulação devem cobrir cenários onde o mesmo atacante usa TTPs de múltiplos grupos, e onde a atribuição é ambígua ou deliberadamente enganosa, refletindo a realidade operacional da aliança.
Referência NIS2: O art. 27.º, alínea a), do DL 125/2025 (art. 21.º, n.º 2, alínea b), da Diretiva) inclui o "tratamento de incidentes" entre as medidas de cibersegurança, o que abrange a capacidade de deteção, análise e resposta. A complexidade crescente dos ataques reforça a necessidade de planos robustos e regularmente testados.