Resumo direto: nenhum dos três ataques analisados pelo Global Emergency Response Team (GERT) da Kaspersky em seu Anatomy of a Cyber World Global Report 2026 exigiu um exploit sofisticado ou uma vulnerabilidade inédita. Uma senha roubada, uma ferramenta de monitoramento com privilégios em excesso, e um patch disponível havia anos mas nunca instalado — foi só isso que abriu caminho para ransomware em uma rede corporativa inteira, para a criptografia completa de um ambiente virtualizado, e para um wiper capaz de destruir dados de forma matematicamente irrecuperável. Um dos três casos aconteceu numa empresa latino-americana.

Este artigo detalha os três casos, o padrão técnico por trás de cada um, e o que muda na prática para uma empresa que não quer ser a próxima manchete.

Caso 1: uma única conta comprometida sequestra a rede inteira

Numa empresa latino-americana, invasores obtiveram acesso a um servidor SMTP comprometendo uma conta de administrador local. Não houve exploração de nenhuma vulnerabilidade avançada — apenas o roubo simples de uma credencial. A partir daí, seguiu-se um roteiro clássico de escalada de privilégio:

  1. Usando o utilitário Mimikatz, os atacantes extraíram hashes de senha diretamente da memória do sistema;
  2. Aplicaram a técnica pass-the-hash, com apoio da ferramenta Invoke-TheHash, para assumir privilégios de outros usuários sem nunca precisar da senha em texto puro;
  3. Em seguida, implantaram uma ferramenta adicional para elevar privilégios explorando um driver vulnerável, o que permitiu distribuir ransomware para os endpoints de toda a rede corporativa.

Por que esse padrão passa despercebido com tanta frequência

A maioria das organizações ainda defende sua rede tentando reconhecer comportamento explicitamente malicioso — em vez de monitorar ações legítimas sendo executadas sob credenciais autorizadas. É exatamente esse ponto cego que o playbook do atacante explora. Os dados do relatório da Kaspersky mostram a conversão de cada técnica em violações reais:

Técnica Taxa de conversão em violação real
Adivinhação de senha (password guessing) 34,8%
Abuso de conta válida 34,5%
Criação de conta local 34,7%
Manipulação de conta 32,0%
Descoberta de serviços de rede 31,2%

Repare no que essas cinco técnicas têm em comum: nenhuma delas dispara um alerta de “malware detectado” em uma ferramenta tradicional. Se sua empresa não tem visibilidade sobre esse tipo específico de tráfego — ou não trata esse padrão como incidente em potencial — a batalha já está perdida antes mesmo de a fase ativa do ataque começar. Detalhamos esse ponto cego de detecção com mais profundidade em O que é EDR e por que sua empresa não pode depender apenas de antivírus.

Caso 2: quando a ferramenta de monitoramento vira cavalo de troia

No segundo caso, a organização foi vítima do ransomware Black Nivas. Como no primeiro caso, o ponto de entrada foi uma credencial comprometida. A diferença aconteceu na fase seguinte: enquanto varriam a rede interna, os atacantes encontraram um servidor PRTG (Paessler Router Traffic Grapher) — uma ferramenta de monitoramento de infraestrutura, o tipo de sistema que existe justamente para dar visibilidade ao time de TI, não para ser um vetor de ataque.

Usando esse servidor como ponto de apoio, os invasores conseguiram pivotar para o restante da rede, localizaram os servidores ESXi da organização e criptografaram o ambiente virtualizado inteiro.

Dois erros clássicos permitiram esse desfecho: o servidor de monitoramento estava configurado com privilégios excessivos, com acesso a praticamente todos os ativos corporativos — físicos e virtuais — e uma conta de usuário havia sido comprometida. Nenhuma novidade técnica; só a combinação de duas falhas de configuração básicas que, juntas, transformaram uma ferramenta de observabilidade em porta de entrada para o pior cenário possível.

Caso 3: quando o patch existe há anos, mas nunca foi aplicado

O terceiro caso é o mais destrutivo dos três — e o mais evitável. Em vez de ransomware convencional, os atacantes implantaram um wiper, malware desenhado para tornar os dados permanentemente irrecuperáveis, não apenas criptografados mediante resgate.

O acesso inicial veio da exploração de uma vulnerabilidade conhecida em um servidor SAP NetWeaver, usada para instalar um web shell em servidores de borda. A partir daí, os atacantes executaram um ataque de password spraying para comprometer contas com privilégios mais altos, e usaram Active Directory e Group Policy Objects para distribuir o malware por toda a rede corporativa. O payload malicioso foi carregado explorando vulnerabilidades adicionais no próprio Microsoft Defender e em um aplicativo leitor de e-books.

O algoritmo do wiper foi desenhado para não deixar chance de recuperação: arquivos pequenos foram completamente criptografados com RSA; arquivos médios tiveram o cabeçalho criptografado com RSA e o restante com AES; arquivos grandes foram truncados a 5 MB, com o restante dos dados substituído por zeros. Essa combinação torna a recuperação completa matematicamente impossível, não apenas operacionalmente difícil.

O detalhe mais frustrante: o patch para a vulnerabilidade do SAP NetWeaver havia sido disponibilizado anos antes do ataque acontecer. A organização simplesmente nunca priorizou sua instalação. Konstantin Sapronov, líder do Global Emergency Response Team da Kaspersky, resume o padrão: as aplicações voltadas para a internet mais visadas em 2026 têm sido Microsoft Exchange, SharePoint e Active Directory — sistemas cujas correções já existem há tempo, mas que as organizações seguem instalando tarde demais. Já tratamos essa lacuna entre “patch disponível” e “patch aplicado” com mais detalhe em Vulnerabilidades de cibersegurança em 2026.

O que os três casos têm em comum

Nenhum dos três incidentes exigiu do atacante um talento técnico extraordinário. Todos usaram técnicas recicladas e vulnerabilidades já documentadas — Mimikatz e pass-the-hash existem há mais de uma década; password spraying é uma técnica de força bruta rudimentar; a falha do SAP NetWeaver já tinha correção pronta. O que mudou não foi a sofisticação do ataque, foi a paciência do atacante em explorar exatamente os pontos que a maioria das empresas trata como problema secundário: uma credencial que nunca é rotacionada, uma ferramenta interna com privilégios amplos demais, um patch que fica na fila por anos.

Como não virar o próximo caso de estudo

A própria Kaspersky estrutura sua recomendação em torno de uma combinação de tecnologia especializada e serviços gerenciados — e os três casos acima mostram exatamente por quê cada peça importa.

Monitoramento contínuo, 24 horas por dia

Nos três casos, o intervalo entre o acesso inicial e o dano completo dependeu de os atacantes conseguirem operar sem ninguém observando em tempo real. Empresas sem recursos para manter um SOC interno operando 24×7 — ou que querem elevar a capacidade de um time de segurança já existente — encontram nesse tipo de cobertura contínua exatamente o que o Kaspersky MDR entrega: monitoramento e detecção precoce por especialistas, antes que um incidente escale para o estágio de criptografia em massa.

Patch além do checklist

A vulnerabilidade do SAP NetWeaver do terceiro caso já tinha correção disponível havia anos. Aplicar tudo de uma vez raramente é viável — o caminho mais realista passa por varredura de vulnerabilidades como rotina e priorização por risco real, com monitoramento ativo de tentativas de exploração contra as falhas conhecidas que ainda não foram corrigidas.

Auditoria de privilégios e hardening

O servidor PRTG do segundo caso tinha acesso a praticamente tudo — um sintoma clássico de processos de gestão de acesso mal definidos. Revisar sistematicamente quais ferramentas internas têm privilégios desproporcionais ao que realmente precisam fazer é um exercício de auditoria que a maioria das empresas nunca prioriza até depois de um incidente. O mesmo raciocínio de menor privilégio se aplica à camada de identidade como um todo — algo que detalhamos em Microsoft Entra ID.

Detecção que enxerga credencial legítima abusada, não só malware

O ponto mais recorrente nos três casos: nenhum deles teria disparado um alerta clássico de “arquivo malicioso detectado”. Mimikatz, pass-the-hash, criação de contas locais, password spraying — tudo isso é comportamento, não assinatura. É exatamente essa lacuna que soluções de EDR/XDR foram desenhadas para fechar, correlacionando eventos que, isolados, pareceriam atividade administrativa normal. Comparamos as camadas de proteção disponíveis — e onde cada uma se encaixa — em Tipos de antivírus: AV, NGAV, EPP, EDR, XDR e MDR e em O que é Kaspersky Next.

Conclusão

Os três casos analisados pelo GERT da Kaspersky desmontam uma expectativa comum: a de que um ataque bem-sucedido precisa de um adversário genial explorando uma falha inédita. Na prática, os invasores de 2026 continuam vencendo com o roteiro mais antigo que existe — roubar uma senha, encontrar um sistema com privilégios em excesso, esperar um patch não aplicado — porque esse roteiro, apesar de conhecido, continua funcionando na maioria das empresas. A defesa eficaz não depende de prever a próxima técnica revolucionária; depende de fechar as mesmas três portas que esses três casos abriram.

Sua empresa consegue distinguir uma credencial legítima sendo abusada de um uso normal do sistema — em tempo real, 24 horas por dia? A InfoB, parceira Kaspersky, ajuda empresas brasileiras a estruturar detecção, resposta e gestão de vulnerabilidades antes que um incidente vire manchete.

Perguntas frequentes sobre como invasores entram nas empresas

Os ataques analisados usaram vulnerabilidades de dia zero?

Não. Os três casos usaram técnicas conhecidas há anos (Mimikatz, pass-the-hash, password spraying) e uma vulnerabilidade do SAP NetWeaver cujo patch já estava disponível havia bastante tempo antes do ataque.

O que é a técnica pass-the-hash?

É uma técnica que permite a um invasor se autenticar como outro usuário usando o hash da senha extraído da memória do sistema, sem precisar conhecer a senha em texto puro — geralmente executada logo após o uso de ferramentas como o Mimikatz para extrair esses hashes.

Por que uma ferramenta de monitoramento como o PRTG pode virar um risco?

Porque ferramentas de monitoramento de infraestrutura frequentemente recebem acesso amplo a servidores físicos e virtuais para poder monitorá-los. Se esse acesso não for limitado ao estritamente necessário, um invasor que comprometa essa ferramenta herda um caminho de pivotagem para praticamente toda a rede.

O que torna um ataque de wiper mais grave que um ransomware comum?

Um ransomware criptografa dados com a expectativa de que o pagamento do resgate permita a recuperação. Um wiper é desenhado para destruir os dados de forma permanente — no caso analisado, usando um esquema de criptografia e truncamento de arquivos que torna a recuperação completa matematicamente impossível, independentemente de qualquer pagamento.

Quais aplicações voltadas para a internet são mais visadas atualmente?

Segundo o líder do Global Emergency Response Team da Kaspersky, as aplicações mais visadas em 2026 têm sido Microsoft Exchange, SharePoint e Active Directory — sistemas com patches disponíveis há tempo, mas que muitas organizações não conseguem aplicar em prazo adequado.

Como uma empresa sem SOC interno pode se proteger desse tipo de ataque?

Contratando um serviço de MDR (Managed Detection and Response), que oferece monitoramento e resposta por especialistas 24 horas por dia, sem exigir que a empresa monte e mantenha uma equipe de segurança interna dedicada.

Leia também no blog da InfoB