Criba e Flecha Bus entre novas vítimas de ransomware

Atualização 31 de agosto de 2026: DragonForce ampliou a campanha com novos detalhes sobre Criba e Frato, enquanto KRYBIT somou confirmações independentes no Brasil e na Guatemala. Também entrou mais contexto operacional sobre DragonForce e maior precisão na cronologia dos casos.

DragonForce publicou a Criba, na Argentina, como uma de suas novas vítimas em uma campanha de 24 horas que também incluiu outro caso no Brasil. No mesmo período, CoinbaseCartel adicionou a Flecha Bus, na Argentina, e a Qilin somou vítimas no México e no Peru, em uma sequência que coloca América do Sul e México entre os focos mais recentes desses grupos.

O que disse a Security Arsenal sobre a DragonForce?

A Security Arsenal atribui à DragonForce uma cadeia de ataque que começa com acesso inicial por VPN ou RMM, ou por aplicações expostas, segue com uso de contas válidas e movimento lateral via PsExec ou WMI, e termina com staging, exfiltração de dados, bloqueio da recuperação e criptografia. Na cobertura, a empresa também apontou que a campanha concentrou vítimas na América do Sul, com publicações na Argentina e no Brasil na janela analisada.

A Criba, identificada pelo grupo em criba.com.ar, também aparece em plataformas de monitoramento como uma divulgação que, segundo a descrição pública do ator, inclui documentação financeira e de clientes com dados que abrangem Argentina, Uruguai e outros países. A BreachSense registrou o caso como uma violação de 188,25 GB associada ao domínio criba.com.ar e descreveu a empresa como uma construtora argentina com serviços de pré-construção, gestão de projetos e obras públicas e privadas. Esses portais deixam claro que apenas indexam a existência da publicação e não validam o conteúdo roubado.

A DragonForce também publicou a Frato em seu leak site. A BreachSense documentou o incidente como uma fuga de 124,52 GB vinculada ao domínio frato.com e descreveu a vítima como uma marca de design de interiores de luxo e mobiliário artesanal com base em Portugal, embora o leak site a apresente como alvo no Brasil. A Kalir.io Pulse também apontou exposição de documentação financeira, dados de acionistas e PII de funcionários e clientes, com possível impacto regulatório no Brasil. A HookPhish informou que os registros de Criba e Frato ficam em torno de 24 e 25 de agosto de 2026, e fixou para Frato a data de violação em 24 de agosto de 2026, com região BR.

O que aconteceu com CoinbaseCartel e Flecha Bus?

A CoinbaseCartel publicou 13 vítimas em 24 horas e entre elas aparece a Flecha Bus, na Argentina, dentro do setor de transporte. A Security Arsenal posicionou o grupo com uma campanha dominada por serviços financeiros, seguida por serviços profissionais e saúde, embora o caso argentino tenha ficado fora desse foco principal.

Fontes de inteligência que monitoram leak sites confirmaram que a CoinbaseCartel listou a Flecha Bus, flechabus.com.ar, em 22 de agosto de 2026, com país, setor transporte e data de descoberta do incidente. Ao mesmo tempo, alertam que a empresa não confirmou publicamente o ataque nem o volume de dados comprometidos.

Registros voltados ao consumidor repetem essa cautela e descrevem a publicação como uma claim não verificada do grupo. Eles dizem que o registro no leak site reflete apenas a versão do ator, sem validação independente nem detalhe sobre categorias de informação ou número de afetados, e que a companhia não emitiu comunicados públicos sobre o incidente.

Como se distribuiu a campanha da Qilin?

A Qilin publicou vítimas no México e no Peru, entre elas Constructora Jimenez, Movitecnica, Cinépolis e Quaker State Mexico. A Security Arsenal colocou a campanha em manufatura, hotelaria, energia e utilities, tecnologia, serviços profissionais, varejo e e-commerce, além de outros setores não classificados.

A mesma empresa detalhou que os vetores de acesso inicial observados para a Qilin incluem exploração de appliances de borda, phishing com anexos ou links maliciosos, credenciais RDP compradas de brokers de acesso e, cada vez mais, comprometimento de supply chain ou ferramentas de desenvolvimento.

Fontes independentes de threat intelligence também confirmaram que a Qilin publicou a Cinépolis em seu leak site em 21 de agosto de 2026, com domínio www.cinepolis.com, país México e data de descoberta. Essa informação aparece como alegação do ator, sem confirmação oficial da rede de cinemas nem números de pessoas afetadas.

Na mesma janela temporal, a Quaker State Mexico foi listada como vítima pela Qilin, com data estimada de ataque em 21 de agosto de 2026. Os registros de acompanhamento de campanhas usam esse caso para reforçar o padrão de concentração do grupo no México e em setores automotivos ou serviços relacionados.

O que mostram os novos casos da KRYBIT na América Latina?

A Security Arsenal relatou uma sequência de 13 vítimas da KRYBIT em 48 horas e colocou casos no Brasil e na Guatemala dentro do conjunto, com concentração setorial em healthcare, agricultura e produção de alimentos, varejo e e-commerce, além de serviços financeiros. Essa leitura agora soma confirmações independentes para ferretornillos.gt, mimafoods.net, vascara.com e NEO Núcleo de Excelência em Oftalmologia.

O rastreador Ransomware.live registrou a ferretornillos.gt como vítima da KRYBIT com descoberta em 26 de agosto de 2026 e setor Agriculture and Food Production. Hendry Adrian documentou o caso como um incidente contra a Ferretornillos S.A., distribuidora atacadista guatemalteca do setor Agriculture and Food Production, enquanto a Breach House também o incluiu entre seus registros da campanha.

A Breach House também documentou a mimafoods.net no Brasil, classificada em Agriculture/Food, e a vascara.com no Brasil dentro do vertical Retail/E-commerce. A MedRisk.io, por sua vez, informou que a KRYBIT reivindicou em um mesmo dia três alvos de healthcare, entre eles o NEO Núcleo de Excelência em Oftalmologia, no Brasil, como parte de uma onda mais ampla que incluiu finanças, varejo e indústria. Em todos os casos, as publicações são apresentadas como alegações do ator, sem confirmação oficial das empresas.

Como se interpreta a operação da DragonForce?

A Tanium contextualiza a DragonForce como um cartel de ransomware desde 2025, com um modelo de afiliados apoiado em recursos compartilhados. Essa leitura ajuda a entender por que podem aparecer campanhas paralelas com TTPs comuns, como exploração de edge, VPN ou RMM, mas executadas por operadores diferentes.

Esse enquadramento coincide com a sequência observada pela Security Arsenal, que descreveu acesso inicial por VPN, RMM ou aplicações expostas, uso de credenciais válidas, movimento lateral com PsExec e WMI, exfiltração, bloqueio de recuperação e criptografia. A combinação dessas etapas voltou a colocar a América do Sul entre os focos mais ativos do grupo na janela analisada.