Ransomware não é o momento de improvisar. As decisões das primeiras horas determinam se a empresa volta em dias ou em semanas, e se sobra evidência para entender o que aconteceu.
Este é o playbook que uso. Ele pressupõe que você já leu antes do incidente. Descobrir o procedimento durante a crise é a forma mais cara de aprender.
Hora 0 a 1: conter sem destruir
O instinto é desligar tudo. É metade certo e metade desastroso.
Faça: isole a rede. Desconecte cabos, desative portas do switch, corte a conexão com a internet e entre as filiais. Ransomware se espalha lateralmente, e cada minuto conectado é mais máquina cifrada.
Não faça: desligar as máquinas afetadas. Desligar destrói a memória volátil, e a memória é onde frequentemente está a chave de cifragem, o processo malicioso e a conexão com o servidor de comando. Máquina ligada e isolada é evidência viva. Máquina desligada é um disco cifrado e mais nada.
Se puder, capture a memória antes de qualquer outra coisa, pelo método que descrevi em Análise Forense de Memória RAM com Volatility.
Ainda na primeira hora: acione quem decide. Ransomware é incidente de negócio, não de TI. A diretoria precisa saber na primeira hora, não no dia seguinte.
Hora 1 a 4: entender o alcance
Antes de restaurar qualquer coisa, responda três perguntas.
- O que foi cifrado? Estações, servidores, backups, ambiente de nuvem. Liste sistema por sistema.
- Por onde entrou? Sem essa resposta, você restaura e é cifrado de novo pela mesma porta. Suspeitos habituais: serviço de acesso remoto exposto, credencial válida comprometida, anexo executado, fornecedor comprometido.
- Houve extração de dados? A maioria das operações modernas rouba antes de cifrar, para pressionar com vazamento. Procure tráfego de saída volumoso nos dias anteriores. Se houve extração, o caso deixa de ser só de disponibilidade e passa a ser de proteção de dados pessoais, com obrigações legais próprias.
Hora 4 a 8: proteger o que sobrou
Os backups são o alvo prioritário do atacante, e é comum que ele os ataque dias antes de disparar a cifragem.
# confira integridade e data do ultimo backup integro
# monte SEMPRE como somente leitura, em maquina isolada
mount -o ro,noexec,nosuid /dev/sdX1 /mnt/verificacao
sha256sum /mnt/verificacao/backup-*.tar.gzSe os backups estiverem em rede acessível a partir do ambiente comprometido, tire-os de lá agora. Ainda nesta janela, troque as credenciais administrativas e revogue as sessões ativas, incluindo as de nuvem e as de acesso remoto.
Hora 8 a 24: restaurar na ordem certa
Restaurar antes de fechar a porta de entrada é jogar dinheiro fora. A sequência correta:
| Ordem | Ação | Critério para avançar |
|---|---|---|
| 1 | Corrigir o vetor de entrada identificado | Vetor fechado e confirmado |
| 2 | Reconstruir a base de identidade e senhas | Credenciais administrativas novas em uso |
| 3 | Restaurar sistemas críticos em rede isolada | Sistema funcional e verificado como limpo |
| 4 | Reconectar gradualmente, com monitoramento reforçado | Sem sinal de reinfecção por 48 horas |
| 5 | Restaurar o restante | Operação normalizada |
Máquina cifrada não deve ser reaproveitada por restauração parcial. Reconstrua do zero. O custo de uma reinstalação é muito menor que o de um acesso residual.
Sobre pagar o resgate
A recomendação técnica é não pagar, e vale entender por quê, para sustentar a conversa com a diretoria.
- Pagamento não garante recuperação. Ferramentas de decifragem entregues por atacantes frequentemente falham em parte dos arquivos.
- Pagamento não impede o vazamento. Quem já extraiu o dado continua com ele.
- Pagar sinaliza que a empresa paga, o que aumenta a chance de novo ataque.
- Dependendo de quem é o grupo criminoso, o pagamento pode ter implicações legais.
A decisão, no entanto, é do negócio, e não da TI. O papel técnico é apresentar com honestidade o tempo estimado de recuperação por backup, a completude desse backup e o risco residual de cada caminho. Diretoria bem informada decide melhor, mesmo quando decide diferente do que você recomendaria.
O que fazer antes de precisar
Três medidas cobrem a maior parte do risco, e todas exigem tempo de paz para serem feitas.
Backup que sobrevive. Uma cópia fora do alcance da rede, imutável ou desconectada. Backup acessível pelo mesmo administrador que o atacante comprometeu não é backup, é mais um alvo.
Teste de restauração. Backup nunca testado é fé, não é controle. Restaure alguma coisa por trimestre e cronometre. O tempo medido é o dado que a diretoria vai querer no dia do incidente.
Ensaio do playbook. Reúna as pessoas por duas horas e simule o cenário no papel. Descobrir que ninguém sabe quem autoriza desligar a operação é muito mais barato no ensaio.
Ransomware bem-sucedido raramente é sinal de atacante genial. Costuma ser sinal de acesso remoto exposto, senha reaproveitada e backup no mesmo lugar que o resto, três coisas que se resolvem com tempo e disciplina, e não com orçamento.