Frato e KRYBIT ampliam vítimas no Brasil

Atualização 31 de agosto de 2026: a revisão incorpora a identificação nominal de Frato como vítima de DragonForce, o domínio frato.com e contexto adicional da BreachSense sobre credenciais expostas. Também soma dois domínios brasileiros reivindicados por KRYBIT, neooftalmo.com.br e sysconth.com, junto com cruzamentos externos que matizam a confirmação pública desses casos.

A Security Arsenal registrou em agosto de 2026 uma série de campanhas de ransomware com novas vítimas nos Estados Unidos e na América Latina, entre elas organizações na Argentina, no Brasil e na Guatemala. Nos lotes atribuídos a DRAGONFORCE, KRYBIT, BARRACUDA, STORM, GLOBAL SECRET GROUP, COINBASECARTEL, METAENCRYPTOR e CHAOS, se repetem táticas de acesso por VPN ou RMM, movimentação lateral com PsExec e WMI, além de preparação prévia ao ciframento com exclusão de shadow copies e staging de arquivos.

O que mostrou o lote mais ativo na região?

Security Arsenal disse que o DRAGONFORCE publicou 4 novas vítimas em 24 horas e que o padrão observado incluía abuso de VPN ou RMM, movimentação lateral com PsExec e WMI, destruição de shadow copies e staging antes do ciframento. No mesmo levantamento, a firma localizou vítimas na Argentina e no Brasil dentro do grupo associado à campanha, com Criba na Argentina e Frato no Brasil, além de classificar Frato no setor Other (Industrial/HVAC Engineering) e associá-lo ao domínio frato.com.

A BreachSense reforçou essa atribuição ao registrar Frato como vítima vinculada ao DragonForce em sua própria base de brechas, com frato.com como domínio afetado. O mesmo registro acrescentou que há 71 contas com e-mail @frato.com expostas em brechas externas anteriores e 86 credenciais relacionadas a frato.com, dado que amplia a superfície de risco além do incidente publicado pelo grupo.

A Security Arsenal também descreveu, nessa onda do DragonForce, setores atacados como tecnologia, serviços financeiros e indústrias ou engenharia, com presença geográfica na América do Sul, incluindo o Brasil. A Tanium adicionou contexto técnico ao apontar que o DragonForce explora falhas conhecidas, como Ivanti Connect Secure e vulnerabilidades do tipo Log4Shell, e que às vezes recorre a brokers de acesso inicial como Scattered Spider, embora esse ponto apareça como caracterização atribuída pela própria fonte.

O que aconteceu com KRYBIT e outros grupos?

KRYBIT publicou 13 organizações em 48 horas e, segundo a Security Arsenal, usou entrada por edge ou RMM, movimentação lateral com WMI e PsExec, e staging prévio ao ciframento com shadow copy deletion e mass file staging. Nesse lote houve vítimas no Brasil, na Guatemala e nos Estados Unidos, com concentração setorial em healthcare, agriculture ou food production e retail ou e-commerce.

Entre os casos brasileiros, a Security Arsenal detalhou que o KRYBIT incluiu neooftalmo.com.br e sysconth.com. No primeiro caso, o site Ransomware.live registrou a entrada com data de descoberta de 26 de agosto de 2026, e a MedRisk explicou que se trata do NEO Núcleo de Excelência em Oftalmologia, um hospital oftalmológico no Brasil que opera esse domínio e foi enquadrado em uma subonda sanitária do grupo.

A reivindicação sobre neooftalmo.com.br também foi respaldada pela Breach House, que registra o incidente como um ataque do KRYBIT contra www.neooftalmo.com.br e marca o país como Brasil. A RecentBreaches, além disso, classifica o caso como uma reivindicação não confirmada, alerta que a listagem continua sem confirmação pública nem respaldo regulatório e aponta que a única referência disponível vem do leak site do grupo.

Em paralelo, a MedRisk afirmou que as reivindicações do KRYBIT sobre os alvos sanitários não foram confirmadas publicamente pelas organizações afetadas. A RecentBreaches seguiu na mesma linha e acrescentou que o perfil de neooftalmo.com.br continua como unconfirmed breach claim, sem registros complementares em índices regulatórios ou bases consolidadas de brechas.

O segundo domínio, sysconth.com, também aparece em fontes externas. A RecentBreaches o classifica como uma ransomware claim do KRYBIT com data de divulgação de 26 de agosto de 2026 e o associa à Syscon (Thailand) Co., Ltd., enquanto a DisclosureLens informou que o grupo afirma ter publicado dados e que ainda não há documentação regulatória que comprove a suposta brecha.

A Breach House, por sua vez, registra o ataque contra sysconth.com, com país Brasil e setor de TI. Esse enquadramento acrescenta um ângulo de risco de cadeia de suprimento tecnológica para clientes ou parceiros que dependam desse fornecedor, embora a reivindicação siga sem confirmação pública nem respaldo regulatório segundo as fontes externas consultadas.

Que padrão técnico se repete nessas intrusões?

As campanhas mencionadas pela Security Arsenal mostram um repertório operacional muito parecido entre grupos: acesso inicial por dispositivos expostos ou serviços remotos, abuso de RMM, execução lateral com PsExec e WMI, exclusão de cópias de sombra e staging antes do ciframento. O GLOBAL SECRET GROUP se encaixa nesse padrão, com 3 vítimas em 24 horas e TTPs que incluem initial access por edge-device, abuso de RMM, lateral movement com PsExec e WMI, VSS deletion e pre-encryption data staging.

A mesma lógica aparece no METAENCRYPTOR, que publicou 7 vítimas em 24 horas e incluiu organizações dos Estados Unidos nos setores de energy ou utilities, agriculture ou food e manufacturing. O CHAOS também somou 3 novas vítimas em 24 horas, com casos nos Estados Unidos e foco em professional services e SMB. O COINBASECARTEL, por sua vez, publicou 13 vítimas em 24 horas, com casos nos Estados Unidos em setores como professional services e healthcare.

Como o Medusa se encaixa nesse quadro?

CISA, FBI e Departamento de Saúde e Serviços Humanos dos Estados Unidos atualizaram em 18 de agosto de 2026 o advisory AA25-071A sobre o Medusa ransomware e detalharam que o grupo explora software de remote monitoring and management e serviços de acesso remoto, incluindo RDP, para se mover pela rede antes de implantar o ciframento e a dupla extorsão. As agências também indicaram que o Medusa atingiu mais de 500 organizações no mundo e que healthcare está entre os setores mais afetados.

O mesmo enfoque aparece em uma análise jurídico-técnica publicada em 23 de agosto de 2026, que destacou o uso de software legítimo de remote monitoring para evitar detecção, exfiltrar dados e implantar o ciframento. A coincidência entre os avisos oficiais e os relatórios técnicos reforça a leitura de que o abuso de RMM e de acessos remotos segue como vetor central para campanhas rápidas, com dupla extorsão e foco em ambientes sanitários e corporativos.