João Miguel Mesquita
A divisão de investigação de ameaças da Check Point identificou uma nova operação de ransomware-as-a-service, designada The Gentlemen, que emergiu em meados de 2025 e rapidamente ascendeu às posições mais ativas a nível global. O grupo já reivindicou mais de 320 vítimas, sendo que 240 ataques ocorreram apenas nos primeiros meses de 2026.
Contudo, os dados internos recolhidos pelos investigadores sugerem uma dimensão substancialmente superior. A análise de um servidor de comando e controlo revelou um botnet com mais de 1.570 organizações comprometidas, ultrapassando largamente os números divulgados publicamente pelo próprio grupo. Este desfasamento reforça a dificuldade em medir com precisão o impacto real deste tipo de operações.
O crescimento acelerado da atividade não assenta tanto em inovação técnica, mas sobretudo num modelo económico mais competitivo. The Gentlemen oferecem aos afiliados uma divisão de receitas de 90% para o atacante e 10% para o operador, acima do padrão de mercado de 80/20. Esta diferença tem sido suficiente para atrair operadores experientes, incluindo elementos associados a grupos estabelecidos como o LockBit.
A proposta é acompanhada por um conjunto abrangente de ferramentas que facilita a execução de ataques em ambientes empresariais. O grupo disponibiliza encriptadores compatíveis com múltiplos sistemas operativos, incluindo Windows, Linux e infraestruturas virtualizadas, bem como mecanismos para desativar soluções de segurança e movimentar-se lateralmente dentro das redes. Este nível de automação permite que afiliados com diferentes níveis de experiência consigam operar com eficácia.
Do ponto de vista setorial, a Indústria e o setor Tecnológico concentram a maioria das vítimas, seguidos pela Saúde. A presença crescente de ataques no setor da Saúde indica que o grupo não segue as restrições informais que alguns operadores aplicam a serviços críticos. Em termos geográficos, os Estados Unidos lideram o número de incidentes, com Reino Unido e Alemanha nas posições seguintes.
A investigação aponta para um padrão recorrente na fase inicial dos ataques. Os acessos começam frequentemente através de dispositivos expostos à Internet sem atualizações de segurança, como VPNs e firewalls vulneráveis. Este vetor mantém-se um dos pontos mais explorados pelos atacantes, apesar de ser também um dos mais evitáveis.
Num dos incidentes analisados, os atacantes já tinham privilégios de administração de domínio no momento em que foram detetados. A partir daí, a progressão foi rápida e estruturada, incluindo reconhecimento da rede, execução remota de comandos e disseminação do ransomware através de ferramentas administrativas legítimas. O ataque culminou com a distribuição do malware via políticas de grupo, permitindo a encriptação quase simultânea de todos os sistemas ligados ao domínio.
Durante a intrusão, foram utilizadas ferramentas como Cobalt Strike para controlo remoto e Mimikatz para recolha de credenciais. Em paralelo, os atacantes desativaram mecanismos de defesa, incluindo o antivírus nativo e firewalls, e garantiram persistência através da instalação de software de acesso remoto.
A componente técnica do ransomware revela um foco claro em ambientes empresariais. O malware permite ajustar a velocidade de encriptação, selecionar alvos específicos e automatizar a propagação dentro da rede. Em infraestruturas virtualizadas, é capaz de interromper máquinas virtuais antes de iniciar a encriptação, maximizando o impacto operacional.
O esquema criptográfico utilizado combina algoritmos modernos, dificultando a recuperação de dados sem acesso às chaves privadas controladas pelos atacantes. Em simultâneo, o malware elimina cópias de segurança locais e registos de eventos, reduzindo a capacidade de resposta e investigação após o incidente.
Para Rui Duro, responsável da Check Point em Portugal, este caso ilustra uma tendência crescente no ecossistema de cibercrime, onde a escala é impulsionada por incentivos financeiros mais do que por inovação técnica. A mesma análise sublinha que medidas preventivas continuam a ser determinantes, nomeadamente a atualização de sistemas expostos, visibilidade sobre movimentos laterais e utilização de inteligência de ameaças.
O caso de The Gentlemen demonstra que o risco não resulta apenas da sofisticação tecnológica, mas da combinação entre modelos de negócio atrativos e falhas básicas de segurança ainda presentes nas organizações.
