Estes hackers achavam que o seu ransomware era invencível, até perceberem que deixaram a chave de encriptação à vista.

Um caso recente mostra como uma única linha de código mal feita pode transformar um ransomware “de ponta” num golpe de sorte para um investigador de segurança e, por vezes, numa tábua de salvação para vítimas que se recusam a pagar.

A ascensão do CyberVolk e o seu negócio impulsionado pelo Telegram

O CyberVolk, um grupo de cibercrime acompanhado por investigadores de ameaças desde o final de 2024, posiciona-se numa zona cinzenta entre hacktivismo e lucro. Os seus operadores apresentam-se como politicamente motivados, visando frequentemente instituições públicas e organizações ligadas ao Estado. A sua comunicação apoia-se em tensões geopolíticas para justificar ataques que, ainda assim, se parecem muito com crime organizado.

Após vários meses discretos, o grupo reapareceu em agosto de 2025 com uma estirpe de ransomware renovada chamada VolkLocker. A reviravolta não veio do código em si, mas da forma como o malware passou a ser entregue e gerido. O VolkLocker funciona agora como um serviço que afiliados podem alugar, enquanto o CyberVolk orquestra tudo a partir de um painel de controlo baseado no Telegram.

O Telegram, amplamente usado tanto para ativismo como para coordenação criminosa, encaixa na sua estratégia. Através de uma interface ao estilo de bot, os operadores conseguem:

• Gerar novos executáveis maliciosos a pedido.
• Enviar comandos para máquinas infetadas.
• Recolher informação de sistema das vítimas.
• Acompanhar cada comprometimento como se fosse um número de encomenda numa loja.

Esta configuração industrializa o ransomware para utilizadores com capacidade técnica mínima. Um afiliado pode lançar um ataque sem grande compreensão de criptografia, mecanismos de persistência ou pivoting em rede. O modelo de serviço replica o que já transformou kits de phishing e ferramentas de roubo de credenciais em produtos de apontar-e-clicar.

O VolkLocker transforma o ransomware em algo mais próximo de um produto por subscrição do que de uma ciberarma feita à medida, baixando a fasquia para aspirantes a extorsionistas.

No entanto, este impulso para a automatização e facilidade de uso introduziu algo que o CyberVolk provavelmente não esperava: código frágil, funcionalidades apressadas e um erro grosseiro que enfraqueceu toda a operação.

Uma única chave partilhada no coração do VolkLocker

A maioria das famílias modernas de ransomware assenta em designs criptográficos robustos. Tipicamente, cada vítima recebe um par de chaves único, muitas vezes gerado por sessão, e a chave privada de desencriptação nunca toca na máquina da vítima. Os atacantes guardam-na remotamente e só a libertam após pagamento. Este modelo torna a desencriptação em massa quase impossível, a menos que as autoridades apreendam os servidores dos criminosos.

O VolkLocker desvia-se deste padrão. Em vez de gerar uma chave por vítima, o malware inclui uma única chave principal de encriptação compilada diretamente no executável. Na prática, isto significa que muitos ataques partilham o mesmo segredo criptográfico.

Do ponto de vista de um ator de ameaça, este design já introduz risco. Equipas de segurança que façam engenharia reversa a uma amostra podem extrair a chave partilhada e reutilizá-la para ajudar outras vítimas. Ainda assim, os operadores do CyberVolk levaram o perigo mais longe através de uma função de depuração que nunca deveria ter saído do laboratório.

A funcionalidade de depuração esquecida que expôs tudo

Durante uma infeção, o VolkLocker cria um ficheiro temporário na máquina da vítima. Esse ficheiro contém três peças de dados:

• A chave principal de encriptação usada para bloquear os ficheiros.
• Um identificador único da vítima.
• O endereço Bitcoin para o pagamento do resgate.

O ficheiro fica no disco em texto simples. Sem ofuscação. Sem encriptação local. Sem limpeza automática quando o malware termina o trabalho. Para equipas de resposta a incidentes familiarizadas com o comportamento de ransomware, este ficheiro é, na prática, um código de batota deixado à vista.

A mesma nota que ameaça destruir dados para sempre partilha discretamente a combinação do cadeado, se souber onde procurar na máquina.

Esta funcionalidade de “registo” quase de certeza começou como uma ferramenta interna de testes. Os programadores muitas vezes guardam chaves e parâmetros em disco durante a depuração e depois removem essas funções das versões de lançamento. Aqui, a limpeza nunca aconteceu. Quando o CyberVolk empacotou o VolkLocker para afiliados, o rasto de depuração foi incluído juntamente com o resto.

Investigadores a analisar infeções reais suspeitam que o grupo ou perdeu controlo do seu pipeline de builds, ou não imaginou que parceiros semiqualificados continuariam a distribuir o que equivale a uma versão beta. Seja como for, o resultado é o mesmo: algumas organizações atingidas pelo VolkLocker conseguem recuperar a chave desse ficheiro temporário e restaurar os seus dados sem pagar resgate.

Porque muitas vítimas continuam a sofrer danos pesados

Uma chave visível pode parecer um golpe de sorte para defensores. Na prática, o benefício continua imprevisível. Cada incidente segue a sua própria cronologia confusa.

Vários cenários podem anular a vantagem:

• Ferramentas automatizadas de limpeza podem apagar ficheiros temporários antes da chegada dos investigadores.
• Funcionários podem reiniciar ou reinstalar sistemas, apagando vestígios da chave.
• O ficheiro de chave pode existir apenas em armazenamento volátil em algumas configurações.
• Corrupção parcial pode deixar parte dos dados encriptados irrecuperáveis.

Entretanto, o próprio VolkLocker continua a comportar-se como um malware competente. Escala privilégios em sistemas Windows, contorna os prompts padrão do Controlo de Conta de Utilizador (UAC) e dá prioridade a ficheiros de elevado valor. Documentos, bases de dados e recursos de rede partilhados caem frequentemente antes de alguém notar comportamento invulgar.

Depois de executado, o ransomware passa efetivamente a “mandar” na máquina. Os atacantes podem implementar ferramentas adicionais em paralelo com o encriptador, como ladrões de credenciais ou shells remotas, para expandir o seu ponto de apoio. Mesmo quando a desencriptação funciona, o comprometimento não desaparece por magia. O endpoint infetado precisa de isolamento, análise forense e, por vezes, uma reconstrução completa.

Recuperar ficheiros não apaga o facto de os atacantes terem tido tempo para se movimentar dentro da rede e possivelmente copiar dados sensíveis.

O caso do CyberVolk também evidencia uma mentalidade perigosa: a crença de que algumas operações de ransomware são “amadoras” ao ponto de poderem ser ignoradas. Embora o erro criptográfico ajude algumas vítimas, o modelo mais amplo continua nocivo. O ransomware-as-a-service traz ataques repetíveis e escaláveis para pessoas sem verdadeiro background em hacking.

Como o ransomware-as-a-service está a mudar a ameaça

O modelo do VolkLocker via Telegram insere-se numa tendência mais ampla em que a economia do cibercrime se divide por papéis. Os programadores centrais tratam do código de encriptação, truques anti-análise e infraestrutura. Outros intervenientes atuam como afiliados, comprando ou alugando acesso a essas ferramentas e focando-se no comprometimento inicial: e-mails de phishing, credenciais de VPN roubadas, configurações fracas de remote desktop.

Para muitos criminosos em potência, este arranjo oferece algumas vantagens tentadoras:

• Baixo custo de entrada: não é preciso escrever malware nem gerir servidores.
• Iteração rápida: as equipas centrais lançam atualizações que os afiliados recebem automaticamente.
• Manual partilhado: tutoriais e canais no Telegram ou noutras plataformas orientam até utilizadores desajeitados.

O erro do CyberVolk com a chave de encriptação mostra o que acontece quando esse ecossistema apressa funcionalidades por conveniência. Um programador pode adicionar logging, gestão de chaves simplificada ou compatibilidade abrangente para facilitar a vida aos clientes. Cada atalho pode, silenciosamente, criar uma abertura para os defensores.

Como equipas de resposta a incidentes podem explorar erros destes

Equipas de segurança perante uma suspeita infeção por VolkLocker têm agora uma tarefa extra na checklist: procurar ficheiros residuais que possam armazenar a chave partilhada. Essa procura deve ocorrer o mais cedo possível, idealmente antes de qualquer limpeza automatizada ou reinstalação em massa.

Num fluxo típico de investigação, os respondedores podem:

Passo	Objetivo
Isolar sistemas afetados	Parar movimento lateral e exfiltração de dados.
Preservar dados voláteis e de disco	Manter ficheiros temporários e artefactos de memória intactos.
Procurar padrões conhecidos do ficheiro de chave	Localizar quaisquer chaves de encriptação ou IDs armazenados.
Testar a desencriptação em cópias	Validar chaves recuperadas sem arriscar perdas adicionais.
Reconstruir e reforçar sistemas	Remover backdoors e fortalecer controlos de acesso.

A mesma abordagem aplica-se para além do CyberVolk. Analistas fazem frequentemente engenharia reversa a novas famílias de ransomware à procura de geradores de números aleatórios defeituosos, troca de chaves mal concebida ou armazenamento local negligente. Quando grupos tratam malware como produtos de software de evolução rápida, bugs lógicos e configurações incorretas acabam inevitavelmente por surgir.

Porque os defensores não devem contar com erros dos atacantes

Embora a história do CyberVolk pareça quase irónica, apostar na incompetência criminosa seria uma estratégia arriscada. Outras equipas refinam constantemente o seu código, testam contra ferramentas forenses e adotam esquemas de encriptação mais distribuídos que não deixam caminho de recuperação, a não ser pagar ou apreender os servidores de comando.

Para as organizações, o caminho mais fiável continua noutro lado: backups offline ou logicamente separados, patching rigoroso, privilégios limitados para contas do dia a dia e autenticação forte para acesso remoto. Exercícios tabletop que percorrem um incidente hipotético de VolkLocker ajudam as equipas a identificar lacunas em deteção, escalonamento e comunicação antes de um ataque real impor decisões difíceis.

Do lado técnico, equipas de segurança podem tratar o erro do VolkLocker como um caso de treino. Analistas novos em engenharia reversa podem praticar em amostras conhecidas por conterem chaves embebidas ou artefactos de depuração. Essa experiência torna-os mais rápidos a detetar erros semelhantes em futuras famílias de ransomware, onde o retorno pode ser muito maior.

Para decisores políticos e reguladores, a ascensão do ransomware-as-a-service orquestrado via Telegram levanta uma preocupação paralela: a facilidade com que atores de baixa competência podem alugar disrupção. Mesmo grupos desajeitados que tropeçam na sua própria encriptação conseguem, ainda assim, paralisar câmaras municipais, hospitais ou escolas durante dias. O ransomware tornou-se menos um ataque raro e de elite e mais uma perturbação recorrente que continua a escalar, alimentada por ferramentas baratas e engenharia social.