Ataque Ransomware INC: Análise Detalhada Revela Táticas de Ameaça Persistente

A recente ofensiva do ransomware INC, que impactou mais de 175 endpoints, detalha uma metodologia de ataque em fases e com escalada de pressão. A invasão começou com a criação de tarefas agendadas de nomes aleatórios, que executavam implantes PowerShell ofuscados para persistência. Na sequência, os invasores usaram RDP para movimentação lateral, explorando contas de usuário comprometidas. Após uma janela de inatividade de 17 dias, os criminosos retornaram, instalando o AnyDesk para controle remoto e entregando ferramentas como o `netscan.exe`.

Um ponto crítico foi o uso de uma tática BYOVD (Bring Your Own Vulnerable Driver), com o arquivo `hwau.exe` carregando o driver `HwAudio`, especificamente para desativar ferramentas de segurança como EDR. O ataque culminou com a implantação do ransomware INC via `atexec.py` do Impacket, uma ferramenta para execução remota. A análise da Huntress sugere a participação de um *access broker* devido à lacuna e mudança de táticas entre as fases. O grupo usou duas notas de resgate: a padrão `INC-README.txt` e a mais agressiva `DATALEAK_PRESS_RELEASE.txt`, que listava arquivos roubados e ameaçava contatar clientes da vítima em 48 horas.

A estratégia de desativar ferramentas de segurança via BYOVD, observada no ataque do INC com o driver `HwAudio`, não é novidade, mas sua reincidência confirma uma tendência de cibersegurança. O CEVIU News já havia alertado sobre a crescente adoção dessa tática na notícia "Ransomware Reynolds Incorpora Driver BYOVD para Desativar Ferramentas de Segurança EDR", de 12 de fevereiro de 2026. Isso mostra como essa técnica se consolidou como padrão para os grupos de ransomware.

Além disso, a suspeita de um *Initial Access Broker* (IAB) no incidente do INC, dada a pausa e a mudança nas táticas, reforça o que já abordamos. Nossa matéria de 25 de junho de 2026, "ModeloRAT e backdoor Mistic são ligados a broker de acesso de ransomware", detalhou o papel desses intermediários no ecossistema de ransomware. Agora, vemos evidências de sua atuação em mais um grande ataque, indicando que a especialização de papéis na cibercriminalidade é uma realidade cada vez mais presente.

Este ataque do ransomware INC é um alerta sobre a sofisticação crescente das campanhas de ciberataques. A metodologia em múltiplas etapas, que inclui persistência via tarefas agendadas, movimentação lateral discreta, e a exploração de BYOVD para cegar a defesa, mostra que os criminosos estão investindo pesado em evasão. A exfiltração de dados e as ameaças de exposição pública via `DATALEAK_PRESS_RELEASE.txt` elevam o risco para as vítimas, transformando o ataque em uma crise de reputação e conformidade além do impacto financeiro direto.

Para as empresas, a lição é clara: a segurança precisa ser proativa e multicamadas. É fundamental monitorar atividades incomuns, como tarefas agendadas com nomes suspeitos ou a instalação de ferramentas RMM inesperadas. Limitar o acesso privilegiado e auditar a criação de novos serviços de driver não assinados são passos cruciais. Ataques como este evidenciam que uma postura reativa não é mais suficiente; a defesa deve antecipar e mitigar ameaças complexas antes que se materializem por completo.