Ransomware via GPO: Ataque sem arquivo paralisa empresas

Imagine ligar os computadores da sua empresa e ver uma mensagem de resgate em todas as telas. Não houve clique em link malicioso, nenhum arquivo suspeito foi baixado. O ataque veio de dentro, usando as próprias ferramentas de administração do Windows. Foi assim que o ransomware PAYLOAD paralisou uma indústria no Oriente Médio em abril de 2026.

Segundo análise da Kaspersky GERT, os criminosos não criptografaram nenhum arquivo. Eles sequestraram o Active Directory e usaram uma GPO (Política de Grupo) maliciosa para espalhar o caos. O detalhe mais assustador? Nenhum binário de ransomware foi detectado. A ameaça vivia apenas na configuração da rede.

Esse caso é um alerta urgente para empresas que dependem de antivírus tradicionais. Ataques sem arquivo, que abusam de ferramentas legítimas, estão se tornando o padrão. E o Brasil não está imune.

O que é GPO e por que ela é um alvo perfeito

GPO, ou Group Policy Object, é um recurso do Windows que permite aos administradores definir configurações para computadores e usuários de uma rede. Por exemplo, forçar uma senha mínima, bloquear o painel de controle ou definir um papel de parede corporativo. Tudo isso é aplicado automaticamente quando o computador inicia.

O problema? É um canal de confiança. Assinado, com privilégios de sistema e raramente inspecionado por soluções de segurança. Se um invasor conseguir criar uma GPO no domínio, ele pode controlar todos os computadores da empresa de uma só vez. Foi exatamente o que aconteceu.

No ataque do PAYLOAD, os criminosos criaram uma GPO chamada “PAYLOAD” e a vincularam à raiz do domínio. Isso significa que ela seria aplicada a todos os computadores e usuários. A GPO configurava papel de parede com a nota de resgate, desativava o firewall do Windows e até desabilitava a conta de administrador local.

O resultado: quando os funcionários ligaram os computadores no dia seguinte, viram a mensagem de extorsão. Nenhum arquivo foi criptografado, mas a paralisação foi total. E a recuperação não era simples: a GPO continuava no servidor, reaplicando as configurações maliciosas a cada reinicialização.

Como o ataque aconteceu: linha do tempo

Os investigadores reconstruíram a sequência de eventos. Tudo começou com uma credencial comprometida, usada para acessar a VPN da empresa. A partir daí, o invasor escalou privilégios até obter controle de administrador de domínio. Depois, executou o ataque em etapas:

• 11 de abril: Acesso inicial via VPN com credencial válida.
• 13 de abril: Criação da GPO maliciosa “PAYLOAD” e de uma segunda GPO para desativar o firewall.
• 14 de abril: Reinicialização dos computadores aplica as políticas; telas de resgate aparecem.
• 15 de abril: Equipe de resposta é acionada e inicia a análise forense.

O que chama atenção é a dormência. A GPO foi criada no dia 13, mas só surtiu efeito quando os computadores reiniciaram no dia seguinte. Isso deu aos invasores tempo para exfiltrar dados de servidores de arquivos, que depois foram publicados na dark web.

Esse padrão se repete em outros ataques modernos. Grupos patrocinados por estados, como os hackers norte-coreanos, frequentemente exploram brechas semelhantes. A diferença é que, no caso do PAYLOAD, o objetivo era extorsão imediata, não espionagem.

Vazamento de dados por aplicativos maliciosos: o elo invisível

Embora o ataque do PAYLOAD tenha explorado o Active Directory, a origem da credencial comprometida ainda é um mistério. Uma hipótese plausível é o vazamento de dados por aplicativos maliciosos. Funcionários podem ter instalado um app falso em seus celulares ou computadores pessoais, que roubou as senhas corporativas.

Esse cenário é mais comum do que parece. Aplicativos de produtividade, jogos ou utilitários gratuitos muitas vezes escondem malware. Uma vez instalados, eles coletam tudo o que digitamos, incluindo credenciais de VPN e e-mail corporativo. Depois, essas informações são vendidas em fóruns clandestinos.

Para se proteger, é essencial:

• Baixar aplicativos apenas de lojas oficiais, como Google Play e App Store.
• Revisar as permissões solicitadas pelo app. Um jogo não precisa acessar seus contatos.
• Manter o sistema e os apps atualizados para corrigir vulnerabilidades conhecidas.
• Usar autenticação em dois fatores para reduzir o impacto de senhas vazadas.

Além disso, é fundamental monitorar se seus dados já foram expostos. Serviços como a Kzarka verificam continuamente se suas credenciais apareceram em vazamentos conhecidos, permitindo que você aja antes que os criminosos as usem.

Por que a detecção tradicional falha

O ataque do PAYLOAD expôs uma falha crítica nas estratégias de segurança. A maioria das empresas depende de antivírus e EDR (detecção e resposta em endpoints) que procuram por arquivos maliciosos ou processos suspeitos. Mas nesse caso, não havia arquivo nem processo malicioso. A ameaça estava na configuração do Active Directory.

Isso significa que, mesmo com as melhores soluções de endpoint, o ataque passou despercebido até o momento do impacto. A lição é clara: a segurança precisa ir além do endpoint. É necessário monitorar mudanças em infraestrutura crítica, como GPOs, e implementar controles de detecção de anomalias.

Além disso, o caso reforça a importância de uma postura proativa. O grupo Scattered Spider, recentemente condenado, usou táticas semelhantes de engenharia social para obter acesso inicial. Em ambos os casos, a prevenção teria sido mais barata que a remediação.

O que fazer agora: checklist de resposta imediata

Se sua empresa usa Active Directory, aja como se o ataque já estivesse em andamento. Aqui está um plano de ação em quatro fases, baseado nas recomendações dos investigadores:

Fase 1: Ações no controlador de domínio

• Desconecte o controlador de domínio da rede para impedir novas alterações.
• Revogue todas as sessões ativas e force a troca de senhas de contas privilegiadas.
• Audite as GPOs existentes, procurando por objetos criados recentemente ou com nomes suspeitos.

Fase 2: Endurecimento do Active Directory

• Restrinja quem pode criar e vincular GPOs ao domínio raiz.
• Implemente monitoramento de mudanças em GPOs, com alertas para qualquer alteração não autorizada.
• Revise as permissões de delegação para garantir que apenas administradores de confiança tenham acesso.

Fase 3: Proteção de credenciais

• Exija autenticação multifator para todos os acessos remotos, incluindo VPN.
• Eduque os funcionários sobre os riscos de aplicativos maliciosos e phishing.
• Monitore a dark web por credenciais vazadas da sua organização.

Fase 4: Detecção e monitoramento contínuo

• Implemente regras de detecção para eventos como criação de GPO, alterações em SYSVOL e desativação de firewall.
• Integre logs do Active Directory com sua plataforma de SIEM.
• Realize simulações de ataque para testar sua capacidade de resposta.

Lembre-se: o ataque do PAYLOAD só teve sucesso porque a empresa não monitorava suas GPOs. Não cometa o mesmo erro.

Perguntas frequentes

O que é ransomware sem criptografia?

É um tipo de extorsão digital onde os criminosos não criptografam os arquivos da vítima, mas causam disrupção operacional de outras formas, como sequestrando configurações do sistema. No caso do PAYLOAD, eles usaram GPOs para exibir mensagens de resgate e desativar firewalls, paralisando as operações sem tocar nos dados.

Como uma GPO pode ser usada em um ataque?

Uma GPO maliciosa pode ser criada por um invasor com privilégios de administrador de domínio. Quando vinculada à raiz do domínio, ela aplica configurações a todos os computadores, como desativar firewalls, alterar papéis de parede ou desabilitar contas. Isso permite um controle massivo e persistente.

Como posso detectar um ataque via GPO?

Monitore eventos do Active Directory, como criação ou modificação de GPOs (IDs de evento 5136, 5137, 5141). Implemente alertas para alterações em SYSVOL e revise regularmente as políticas aplicadas. Ferramentas de auditoria de mudanças podem automatizar esse processo.

O que fazer se eu suspeitar que minha empresa foi atacada?

Isole o controlador de domínio imediatamente, revogue sessões ativas e force a troca de senhas. Em seguida, audite as GPOs e remova qualquer objeto suspeito. Contrate uma equipe de resposta a incidentes para uma análise forense completa.

Como aplicativos maliciosos podem levar a um ataque corporativo?

Um funcionário pode instalar um app malicioso em seu dispositivo pessoal, que rouba credenciais corporativas salvas. Essas credenciais podem ser usadas para acessar a VPN da empresa e iniciar um ataque interno, como no caso do PAYLOAD.

Como a Kzarka pode ajudar na proteção contra esses ataques?

A Kzarka monitora continuamente a dark web e bancos de dados de vazamentos para verificar se suas credenciais foram expostas. Se encontrarmos algo, você recebe um alerta imediato para trocar senhas e proteger suas contas antes que os criminosos as usem. Cadastre-se agora e verifique se seus dados estão seguros.

Não espere o próximo ataque. Aja agora. Verifique se seus dados já vazaram e monitore sua identidade digital com a Kzarka.