Colômbia: ransomware com BitLocker

A Kaspersky Security Services investigou entre maio e junho de 2026 uma série de incidentes de ransomware na Colômbia e no México em que os atacantes combinaram falhas de configuração, criptografia com BitLocker e o uso de impressoras corporativas para entregar notas de resgate dentro das organizações.

Acesso inicial e criptografia

Em um dos casos analisados na Colômbia, o acesso inicial ocorreu por meio de um serviço de acesso remoto exposto à internet. Esse serviço estava ligado a um servidor conectado a um dispositivo de armazenamento de 8 TB com informações financeiras críticas. Depois da entrada, os atacantes alteraram credenciais de usuários, ativaram o BitLocker para criptografar o volume e usaram as impressoras corporativas para distribuir as notas de resgate.

A cobertura especializada publicada em julho também descreveu um incidente semelhante na Colômbia, com o mesmo ponto de entrada por acesso remoto exposto e a criptografia posterior de um servidor vinculado a um dispositivo de 8 TB com informações críticas para a operação do negócio.

Técnica e atribuição

De acordo com a análise técnica resumida pelo HelpRansomware a partir da Securelist, a campanha na Colômbia e no México foi atribuída ao ator identificado como XEntry Team. Esse grupo deixa uma tela azul com a mensagem "Hacked by XEntry Team" e, horas depois da criptografia, imprime notas de resgate.

A mesma análise aponta que, nos dois incidentes, México em maio e Colômbia em junho de 2026, as vítimas perceberam primeiro um ícone de cadeado ao lado das unidades no Explorador de Arquivos e um aviso pedindo a chave de recuperação do BitLocker. Isso confirmou que não houve uso de malware personalizado, e sim do mecanismo nativo de criptografia do Windows.

Também foi detalhado que os atacantes abusaram de mecanismos legítimos já presentes nas redes, como RDP, MSSQL, ferramentas de gestão remota e Group Policy, para espalhar a criptografia a partir de sistemas críticos para o restante dos computadores vinculados ao controlador de domínio. O objetivo foi ampliar o impacto sem depender de binários de ransomware.

Alcance regional e defesas

A TrendTIC informou em julho de 2026 sobre uma campanha que afetou organizações na Colômbia e no México e destacou que a impressão de pedidos de resgate é uma tática emergente na região. O HelpRansomware acrescentou que o XEntry Team pede resgates deliberadamente pequenos, em linha com a tendência observada pela Kaspersky de valores reduzidos nessas campanhas, algo que pode facilitar o pagamento rápido e reduzir a visibilidade pública dos incidentes.

A Carmona.mx apontou que, nos casos da Colômbia e do México, não foram identificados exploits de vulnerabilidades específicas nem campanhas de phishing direcionadas. A origem esteve em erros de configuração e na gestão de serviços expostos à internet, o que reforçou o peso da superfície de exposição e de um hardening deficiente.

Entre as recomendações técnicas derivadas da análise estão armazenar as chaves de recuperação do BitLocker no Active Directory ou em MDM, com alertas quando a criptografia for ativada em equipamentos não previstos, remover RDP e MSSQL da exposição direta à internet e protegê-los atrás de VPN ou bastion com MFA, e limitar quem pode modificar objetos de Group Policy, auditando cada mudança.