O relatório de maio do Índice Global de Ameaças, da Check Point Software, mostra que o SafePay, um grupo de ransomware relativamente novo e em rápido crescimento, se tornou o ator mais prevalente na lista dos principais grupos de ransomware, empregando uma estratégia de dupla extorsão.
CONTEÚDO RELACIONADO: Cibercriminosos adotam agentes de IA para lançar ataques autônomos e adaptáveis
O SafePay é um grupo de ransomware observado pela primeira vez em novembro de 2024, com indicadores sugerindo uma possível afiliação russa. O grupo opera um modelo de extorsão dupla: criptografa os arquivos das vítimas e extrai dados confidenciais para aumentar a pressão por pagamento.
Apesar de não operar como um Ransomware como Serviço (RaaS), o SafePay registrou um número excepcionalmente alto de vítimas. Sua estrutura centralizada e interna resulta em táticas, técnicas e procedimentos (TTPs) consistentes e segmentação focada.
Além disso, o grupo traz uma nova geração de operadores mirando tanto grandes quanto pequenas empresas. A situação mostra que as táticas utilizadas por esses grupos de ransomware estão se tornando cada vez mais sofisticadas e a competição entre eles está se intensificando.
A Check Point explica que os dados sobre grupos ransomware são baseados em insights de “sites de vergonha” administrados pelos próprios grupos.
Operação policial de destaque
Em maio, a Europol, o FBI, a Microsoft e outros parceiros lançaram uma grande operação com foco no Lumma, uma proeminente plataforma de malware como serviço (Malware-as-a-Service). Essa ofensiva resultou na apreensão de milhares de domínios, interrompendo significativamente a operação.
No entanto, os servidores principais do Lumma, baseados na Rússia, teriam permanecido operacionais e os desenvolvedores rapidamente restauraram sua infraestrutura. Apesar disso, a operação causou danos reputacionais ao empregar táticas psicológicas, como phishing e criação de desconfiança entre seus usuários.
Embora a interrupção técnica tenha sido relevante, dados relacionados ao Lumma continuam circulando, gerando preocupações sobre o impacto de longo prazo da ofensiva.
Principais famílias de malware – Global e Brasil
O FakeUpdates seguiu como o malware mais prevalente em maio no ranking global com impacto de 5%, seguido de perto por Remcos e AndroxGh0st, ambos impactando 3% das organizações em todo o mundo.
No Brasil, em maio, o ranking nacional de ameaças listou os mesmos malwares e nas mesmas posições que o global: o malware FakeUpdates liderou o índice nacional de ameaças com impacto de 10,75%; o segundo malware que mais impactou as organizações no Brasil foi o Remcos com índice de 2,70%, e, em terceiro, o Androxgh0st registrou impacto foi de 4,82%.
O mapa a seguir exibe o índice de risco global (vermelho mais escuro = risco mais alto), demonstrando as principais áreas de risco ao redor do mundo.
Principais malwares para dispositivos móveis no mundo em maio de 2025
↔ Anubis – Um trojan bancário versátil que se originou em dispositivos Android. Ele possui capacidades como contornar a autenticação de múltiplos fatores (MFA), registrar teclas digitadas (keylogging), gravar áudio e executar funções de ransomware.
↔ AhMyth – Um trojan de acesso remoto (RAT) que ataca dispositivos Android, disfarçado como aplicativos legítimos. Ele obtém permissões extensivas para exfiltrar informações sensíveis, como credenciais bancárias e códigos MFA.
↑ Necro – O Necro é um downloader malicioso para Android que recupera e executa componentes nocivos em dispositivos infectados com base em comandos de seus criadores. Ele foi descoberto em diversos aplicativos populares no Google Play, bem como em versões modificadas de aplicativos em plataformas não oficiais, como Spotify, WhatsApp e Minecraft.
Principais setores atacados no mundo e no Brasil
Em maio de 2025, a Educação prosseguiu como o setor mais atacado a nível mundial, seguido por Governo e Telecomunicações. No Brasil, os três setores no ranking nacional mais visados por ciberataques durante o mês de maio foram os mesmos, mas em ordem diferente: Governo primeiro, seguido por Telecomunicações e Educação.
Participe das comunidades IPNews no Instagram, Facebook, LinkedIn e X (Twitter).
