BLACKWATER mira AMCA na Argentina

Breachsense registrou amca.org.ar como vítima do grupo de ransomware BLACKWATER e datou a descoberta do incidente em 17 de agosto de 2026. Em paralelo, a Security Arsenal afirmou que o ator publicou duas novas vítimas em seu site de vazamento, entre elas uma organização na Argentina. No caso da AMCA, o registro a descreve como uma associação mutual argentina voltada à coordenação de seguros automotivos, assistência na estrada e benefícios financeiros para motoristas.

O que se sabe sobre a AMCA?

A AMCA aparece na Breachsense como uma associação mutual argentina ligada a serviços para motoristas, e não apenas como uma entidade genérica de serviços profissionais. O registro também indica que foram indexadas 34 contas com domínio @amca.org.ar expostas em brechas externas anteriores e 64 credenciais vinculadas especificamente a amca.org.ar, um volume que amplia o risco de comprometimento por ransomware ou por intrusões baseadas em credenciais.

A Security Arsenal, por sua vez, descreveu www.amca.org.ar como parte de um padrão oportunista de targeting contra serviços profissionais na América Latina. A atribuição veio da própria fonte, mas o material fornecido não traz confirmação oficial independente.

Quais técnicas ligam essas campanhas ao perímetro?

A Security Arsenal atribuiu ao BLACKWATER um possível foco em organizações com VPNs de perímetro e ferramentas de acesso remoto sem correção, mencionando a América Latina como contexto. Na mesma linha, para THEGENTLEMEN, a fonte descreveu um padrão operacional de intrusão pelo perímetro, exfiltração rápida, ameaça de vazamento e negociação sob pressão.

O relatório sobre THEGENTLEMEN também apontou TTPs específicas, como abuso de VPN e do perímetro, uso indevido de RMM, movimento lateral com PsExec e WMI, destruição de shadow copies e staging antes da criptografia. A Barracuda acrescentou que esse ransomware usa criptografia XChaCha20 junto com Curve25519 e se espalha em ambientes de Active Directory por meio de WMI, PowerShell, PsExec e objetos de diretiva de grupo, o que reforça o quadro técnico de ataques voltados a avançar rápido pela rede antes da criptografia.

Por que isso importa para organizações latino-americanas?

O material aponta um risco consistente para entidades que dependem de acessos remotos e de perímetros expostos. No caso da AMCA, a acumulação de credenciais vazadas já documentada pela Breachsense se soma ao perfil de ataque que a Security Arsenal associa ao BLACKWATER. Para THEGENTLEMEN, o uso de ferramentas administrativas legítimas e a destruição de shadow copies mostram uma campanha voltada a acelerar a intrusão e dificultar a recuperação.

A combinação desses elementos deixa dois sinais concretos na região: vítimas publicadas em sites de vazamento e um conjunto de TTPs centrado em VPN, RMM e movimento lateral com ferramentas nativas do Windows, especialmente em ambientes de Active Directory.