Colômbia: ransomware com BitLocker

A Kaspersky Security Services investigou entre maio e junho de 2026 uma série de incidentes de ransomware na Colômbia e no México, em que os atacantes combinaram erros de configuração, criptografia com BitLocker e o uso de impressoras corporativas para entregar notas de resgate dentro das organizações.

¿Cómo entraron y qué hicieron después?

Em um dos casos analisados na Colômbia, o acesso inicial ocorreu por meio de um serviço de acesso remoto exposto à internet. Esse serviço estava ligado a um servidor conectado a um dispositivo de armazenamento de 8 TB com informações financeiras críticas. Depois da entrada, os atacantes alteraram credenciais de usuários, ativaram o BitLocker para criptografar o volume e usaram as impressoras corporativas para distribuir as notas de resgate.

A cobertura especializada publicada em julho também descreveu um incidente semelhante na Colômbia, com o mesmo ponto de entrada por acesso remoto exposto e a posterior criptografia de um servidor vinculado a um dispositivo de 8 TB com informações críticas para a operação do negócio.

¿A quién se atribuyó la campaña y cómo operó?

De acordo com a análise técnica citada pela HelpRansomware a partir da Securelist, a campanha na Colômbia e no México foi atribuída ao grupo identificado como XEntry Team. Esse grupo deixa uma tela azul com a mensagem "Hacked by XEntry Team" e, horas depois da criptografia, imprime notas de resgate.

A mesma análise indica que, nos dois incidentes, o México em maio e a Colômbia em junho de 2026, as vítimas perceberam primeiro um ícone de cadeado ao lado das unidades no Explorador de Arquivos e um aviso pedindo a chave de recuperação do BitLocker. Isso confirmou que não houve implantação de malware personalizado, mas sim o uso do ciframento nativo do Windows.

Também foi detalhado que os atacantes abusaram de mecanismos legítimos já presentes nas redes, como RDP, MSSQL, ferramentas de gestão remota e Group Policy, para espalhar a criptografia desde sistemas críticos até o restante dos equipamentos unidos ao controlador de domínio. O objetivo foi ampliar o impacto sem recorrer a binários de ransomware.

¿Qué alcance regional tuvo y qué defensas se recomiendan?

A TrendTIC informou em julho de 2026 sobre uma campanha que afetou organizações na Colômbia e no México e destacou que a impressão de pedidos de resgate é uma tática emergente na região. A HelpRansomware acrescentou que o XEntry Team pede resgates deliberadamente pequenos, em linha com a tendência observada pela Kaspersky de valores reduzidos nessas campanhas, o que pode facilitar o pagamento rápido e reduzir a visibilidade pública dos incidentes.

A Carmona.mx indicou que, nos casos da Colômbia e do México, não foram identificados exploits de vulnerabilidades específicas nem campanhas de phishing direcionadas. A origem esteve em erros de configuração e na gestão de serviços expostos à internet, o que reforçou o peso da superfície de exposição e de um hardening deficiente.

Entre as recomendações técnicas derivadas da análise estão armazenar as chaves de recuperação do BitLocker no Active Directory ou no MDM com alertas quando houver ativação de criptografia em máquinas não previstas, retirar RDP e MSSQL da exposição direta à internet e protegê-los atrás de VPN ou bastion com MFA, e limitar quem pode modificar objetos de Group Policy, auditando cada mudança.