João Miguel Mesquita
A Kaspersky detetou uma vulnerabilidade no ThrottleStop, um software gratuito desenvolvido com o apoio da TechPowerUp e amplamente usado por utilizadores que procuram ajustar o desempenho e o consumo energético dos seus computadores portáteis. A falha foi explorada pelos operadores do ransomware MedusaLocker, que combinaram o uso do programa vulnerável com uma nova variante de malware capaz de desativar mecanismos de defesa como o EDR (Endpoint Detection and Response).
A vulnerabilidade foi descoberta pela Equipa de Resposta a Emergências Globais (GERT) da Kaspersky durante a investigação de um ataque a uma empresa brasileira, tendo-lhe sido atribuído o identificador CVE-2025-7771. O ransomware MedusaLocker, ativo desde 2019, segue o modelo de negócio Ransomware-as-a-Service, e tem como alvos frequentes organizações dos setores público e privado, incluindo educação, saúde e tecnologia, em várias regiões do mundo.
De acordo com a investigação, os cibercriminosos exploraram o driver vulnerável ThrottleStop.sys para executar código malicioso no modo kernel do Windows, o que lhes permitiu escalar privilégios e desativar soluções de segurança antes de ativarem o ransomware. O objetivo final era encriptar ficheiros críticos e exigir pagamento para o seu desbloqueio.
Segundo Cristian Souza, especialista da Kaspersky, o ThrottleStop é uma ferramenta concebida para uso pessoal, e raramente utilizada em ambientes empresariais devido às restrições impostas pelas políticas de segurança. No entanto, no caso analisado, o programa foi distribuído num pacote que incluía o malware responsável por desativar o EDR, aproveitando interfaces inseguras que permitiam ler e escrever diretamente na memória física do sistema.
A Kaspersky confirmou que as suas soluções detetam e bloqueiam as ameaças associadas ao incidente, nomeadamente as variantes Trojan-Ransom.Win32.PaidMeme.* (ligada ao MedusaLocker) e Trojan.Win64.KillAV.* (classificada como “AV killer”).
Com base na sua telemetria e em dados públicos de inteligência sobre ameaças, a empresa observou que a maioria das vítimas deste tipo de ataque se encontra na Rússia, Bielorrússia, Cazaquistão, Ucrânia e Brasil. O uso de malware destinado a eliminar defesas de segurança é uma tática comum entre grupos de cibercrime, mas a variante agora identificada aparenta ser recente e está em circulação desde outubro de 2024.
Souza sublinha que esta descoberta ilustra o nível crescente de sofisticação dos ciberataques atuais e reforça a necessidade de soluções de segurança com mecanismos de autodefesa integrados, capazes de impedir a modificação de processos de memória e a eliminação de ficheiros críticos.
A Kaspersky recomenda às empresas que monitorizem drivers vulneráveis, reforcem as suas políticas de segurança e implementem práticas como controlo de acessos com privilégios mínimos, segmentação de rede, autenticação multifator e gestão rigorosa de patches. A utilização de ferramentas EDR e XDR é igualmente aconselhada para deteção e resposta a ameaças, complementadas por serviços geridos de deteção e resposta (MDR) ou resposta a incidentes, que assegurem proteção contínua e investigação detalhada em caso de ataque.
