INC a banda de ransomware que está redefinindo 2026

Em menos de três anos, a INC passou de ser uma operação incipiente de ransomware-as-a-service a uma das bandas mais prolíficas do primeiro semestre de 2026, com números que falam por si só: aproximadamente 830 vítimas desde agosto de 2023 e mais do 65% dos ataques dirigidos a organizações nos Estados Unidos. Essa expansão não é coincidência, mas o resultado de um ecossistema criminoso reconfigurado: quando atores como LockBit e BlackCat foram enfraquecidos, afiliados e serviços migraram para alternativas como INC, que ofereceram continuidade operacional e maior disponibilidade de "produto criminoso".

Uma característica técnica notável do INC é a reescrita de seus cifradores para Windows e Linux/ESXi em Rust, uma linguagem moderna que facilita a implantação multiplataforma e complica a análise forense por sua capacidade de produzir binários mais difíceis de desensamblar. A isto soma-se a comercialização de variantes em fóruns clandestinos, o que gerou famílias derivadas com sobreposição importante de código, ampliando assim a superfície de risco para organizações que acreditam que uma mudança de marca reduz a ameaça.

A cadeia de ataque relatada por analistas combina técnicas conhecidas e altamente eficazes: aproveitamento de vulnerabilidades em dispositivos perimetrales e serviços públicos, compra de credenciais, spear-phishing, uso de LOLBins para movimento lateral e exploração de cópias de segurança através de um dumper atualizado capaz de extrair credenciais de implementações modernas da Veeam que usam DPAPI com sal. O vetor de ataque não é sofisticado no sentido de usar truques inéditos, mas sim é eficaz e escalável: a repetição de táticas comprovadas está criando uma corrente constante de incidentes.

Entre as técnicas específicas que convém vigiar encontram-se a utilização de drivers manipulados para desativar defesas (conhecido como BYOVD), a implantação de ferramentas comerciais de administração remota como AnyDesk ou ScreenConnect para controle humano e a ex-filtração de dados através de Rclone após empacotamento com senhas. Além disso, os encriptados permitem controlos de linha de comandos - incluindo um argumento “--esxi” para apagar máquinas virtuais - e aceleram o processo com multi-hilo e criptografia parcial, reduzindo a janela de resposta defensiva.

O padrão que o INC deixa sublinha uma lição estratégica: não é necessário desenvolver novidades crípticas para causar danos maciços; a combinação de código reutilizável, venda em mercados clandestinos, afiliados motivados por ganhos rápidos e objetivos com alta urgência operacional (saúde, serviços legais, manufatura, construção) basta para amplificar o impacto. As consequências transcendem o objectivo directo: quando sectores dependentes de operações contínuas sofrem interrupções, multiplicam-se os riscos para fornecedores e cadeias de abastecimento.

Para organizações e equipes de cibersegurança as prioridades práticas são claras. Em primeiro lugar, proteger e isolar as cópias de segurança; as estratégias de cópia devem incluir repositórios imutávels, segmentação da rede de backup e verificação periódica de restaurabilidade. Em segundo lugar, priorizar o adesivo de dispositivos de borda e aplicativos expostos publicamente, bem como endurecer as implementações da Veeam e outros produtos de apoio para minimizar a possibilidade de extração de credenciais. Além disso, é crítico restringir o uso de ferramentas administrativas e LOLBins, aplicar princípios de mínimos privilégios e implantar controles de detecção que identifiquem padrões de abuso de RDP, PsExec, Rclone e conectividade de gestão remota.

A detecção precoce exige capacidades de observação e resposta: EDR/NGAV com telemetria estendida, regras específicas para cadeias comuns (incluindo indicadores associados a drivers suspeitos e binários recompilados em Rust), detecção de comportamento anormal em servidores de backup e alertas sobre argumentos incomuns em processos críticos. As organizações também devem praticar exercícios de resposta a incidentes, coordenar comunicação com fornecedores e parceiros, e manter canais abertos com autoridades e serviços de inteligência de ameaças para partilhar indicadores e táticas.

Finalmente, a gestão do risco operacional requer políticas que combinem controles técnicos, preparação legal e planejamento financeiro. Contratar seguros cibernéticos não substitui a higiene básica; em vez disso, o investimento em segregação de rede, autenticação multifator, rotação e proteção de segredos, e testes regulares de restauração reduz a probabilidade de pagamentos e acelera a recuperação. A ameaça que a INC representa demonstra que a resiliência empresarial depende mais de medidas sustentáveis e repetiveis do que de soluções milagre.

Para aprofundar práticas recomendadas e marcos de defesa contra ransomware, as equipes podem consultar recursos oficiais como o guia da CISA sobre como prevenir e responder a ransomware em empresas https://www.cisa.gov/stopransomware e o repositório de táticas e técnicas de ameaças do projeto MITRE ATT&CK https://attack.mitre.org/, que ajudam a mapear indicadores observados a controles defensivos concretos.