Como a tática furtiva dos cibercriminosos engana defesas de endpoint, acelera o sequestro de dados e inutiliza suas cópias de segurança de forma silenciosa.
Imagine a seguinte cena: sua empresa conta com uma solução de EDR (Endpoint Detection and Response) de última geração, políticas de privilégio mínimo ativas e um sistema de backup incremental diário rodando na nuvem. Você se sente seguro. No entanto, no início da manhã de uma terça-feira, a operação para. Os sistemas estão inacessíveis. Ao verificar o console do seu EDR, nenhum alerta de alta prioridade foi disparado nas últimas 24 horas. Ao tentar restaurar o backup, você descobre que os arquivos de cópia de segurança também estão corrompidos ou criptografados de forma parcial.
Esse cenário de pesadelo não é hipotético. Ele descreve perfeitamente o impacto da criptografia intermitente, uma das técnicas de ransomware mais sofisticadas e destrutivas em uso hoje pelos cibercriminosos.
Neste artigo, vamos desvendar como essa tática funciona, por que ela passa despercebida pelas defesas de endpoint mais modernas e como ela neutraliza silenciosamente a sua última linha de defesa: o backup.
---
O que é Criptografia Intermitente?
A criptografia intermitente (ou criptografia parcial) é uma técnica avançada de ataque cibernético em que o ransomware criptografa apenas frações específicas de um arquivo (por exemplo, alternando blocos de 10 bytes ou visando apenas o início e o fim de um documento), em vez de criptografar o arquivo inteiro.
Para o usuário ou para qualquer aplicação que tente abrir o arquivo comprometido, o impacto é o mesmo de uma criptografia tradicional: o arquivo torna-se completamente corrompido, ilegível e irrecuperável sem a chave de descriptografia. No entanto, sob a ótica da infraestrutura de segurança de rede e de endpoint, o comportamento do ataque é drasticamente atenuado, parecendo inofensivo.
A mecânica do ataque: Velocidade e evasão cirúrgica
Ao criptografar apenas uma porcentagem calculada do arquivo (como 50%, 20% ou até mesmo 10%), os desenvolvedores de malware atingem duas metas críticas que tornam o ataque letal:
1. Velocidade assustadora: Criptografar menos dados significa que o processamento ocorre em uma fração do tempo habitual. Bancos de dados massivos e servidores de arquivos inteiros são desestruturados em segundos, dando pouco ou nenhum tempo de reação para as equipes de TI.
2. Redução extrema de I/O (Input/Output): O volume de operações de leitura e gravação no disco rígido diminui drasticamente. Isso evita os tradicionais picos de atividade de armazenamento que costumam disparar alarmes em sistemas de detecção automatizados.
---
A Economia do Cibercrime: Por que os Atacantes Adotaram Essa Tática?
O desenvolvimento de malware é um negócio de alta lucratividade, guiado pela lógica de eficiência e retorno sobre o investimento (ROI). Os atacantes perceberam que ferramentas de EDR baseadas em inteligência artificial e aprendizado de máquina estavam se tornando extremamente eficazes em detectar comportamentos de criptografia total e contínua.
Para contornar o desenvolvimento defensivo, os cibercriminosos adaptaram o código de suas ferramentas para focar na fragmentação. A criptografia intermitente funciona como um "modo furtivo" de ataque. Ela otimiza o uso de recursos de processamento na máquina da vítima, o que permite que o malware conclua sua tarefa destrutiva mesmo em servidores com hardware limitado, sem acionar o sistema de resfriamento ou elevar o uso de CPU a patamares suspeitos de 100%.
---
Por que os EDRs Tradicionais Falham em Detectar Essa Ameaça?
Os sistemas de EDR e os antivírus de próxima geração (NGAV) dependem de heurística e análise comportamental para identificar ameaças de dia zero. Eles observam e correlacionam eventos no sistema operacional à procura de assinaturas de atividades de ransomware. Os gatilhos mais comuns incluem:
* Tentativas consecutivas e extremamente rápidas de modificação de milhares de arquivos.
* Renomeação sistemática de extensões de arquivos em massa (como alterar `.docx` para `.locked`).
* Uso contínuo de recursos computacionais perto do limite máximo de desempenho.
* Comando de exclusão das cópias de sombra de volume do Windows (VSS - Shadow Copies).
A criptografia intermitente neutraliza quase todos esses gatilhos de forma inteligente.
O ponto cego da análise comportamental
Quando um agente de ameaça executa um ransomware de criptografia intermitente, o processo modifica apenas partes esparsas dos arquivos de dados.
Para a heurística de um EDR, essa ação não se assemelha a um ataque criminoso de sequestro de dados. Pelo contrário: ela se comporta de maneira idêntica às atividades legítimas do dia a dia do sistema operacional e de aplicações de negócios. A gravação pontual de dados em blocos mimetiza a gravação contínua de um banco de dados relacional ativo, a compilação de código de software por desenvolvedores ou a sincronização de cache de navegadores e sistemas ERP.
Como as taxas de alteração por arquivo e a utilização de CPU permanecem sob limites considerados normais, o EDR cataloga essa movimentação como atividade segura de sistema. A invasão continua ocorrendo sem gerar nenhum alerta, ticket ou bloqueio automatizado no painel do analista de SOC.
---
O Efeito Dominó: Como o Seu Backup é Corrompido Silenciosamente
A falha na barreira de detecção do EDR acarreta um impacto em cascata que destrói a última linha de defesa de qualquer empresa: os backups.
Organizações frequentemente operam sob o pressuposto de que "mesmo se formos invadidos, podemos simplesmente restaurar nossos dados a partir do backup mais recente". A criptografia intermitente subverte completamente essa lógica ao explorar o funcionamento dos sistemas de replicação de dados.
O veneno na replicação e sincronização incremental
Para otimizar o consumo de banda de internet, espaço em disco e tempo de execução, quase 100% dos softwares de backup corporativos operam sob o esquema de backup incremental ou diferencial. Esses sistemas monitoram de forma inteligente as alterações nos arquivos e transmitem ao repositório seguro apenas os blocos que foram alterados desde o último ciclo de cópia.
Em um ambiente comprometido por criptografia intermitente, ocorre o seguinte processo silencioso:
1. O ransomware altera ligeiramente uma porção específica de um arquivo crítico (por exemplo, um banco de dados ativo de transações).
2. O agente de EDR local monitora a atividade, mas a classifica como uma gravação de dados padrão e segura, não emitindo alertas.
3. No horário agendado, o software de backup varre o sistema, identifica que o arquivo sofreu alterações pontuais de blocos e inicia a sincronização incremental.
4. Os blocos corrompidos e criptografados são copiados para dentro do repositório de backup principal e secundário.
5. Os dados saudáveis anteriores começam a ser descartados ou rotacionados de acordo com a política de retenção configurada.
Esse ciclo se repete ao longo de dias ou até semanas. Quando os criminosos finalmente decidem revelar o ataque disparando a nota de resgate na tela dos servidores, toda a sua cadeia de pontos de restauração (RPO) já foi poluída e corrompida com blocos criptografados silenciosamente. Ao tentar realizar o restore, a equipe técnica descobre, com desespero, que o "backup de segurança" guarda apenas dados inutilizáveis.
---
Como Proteger Sua Infraestrutura Contra a Criptografia Intermitente
Para combater uma ameaça invisível, as organizações precisam evoluir o seu modelo de segurança cibernética. É essencial sair de uma abordagem focada apenas na proteção de borda e de endpoint e migrar para uma arquitetura centrada na integridade e na resiliência de dados (Zero Trust Data Security).
Abaixo estão as estratégias mais eficazes para neutralizar esse ponto cego tecnológico:
1. Implemente a Análise de Entropia de Dados no Armazenamento
A entropia é um cálculo matemático que mede o grau de aleatoriedade dos dados armazenados em um arquivo. Arquivos corporativos normais, como planilhas, PDFs e bases de dados, contêm alta previsibilidade e baixa entropia. Dados criptografados, contudo, apresentam entropia máxima (desordem total e ausência de padrões).
Sistemas de backup modernos equipados com análise automatizada de entropia conseguem identificar se um arquivo que está sendo modificado apresenta uma elevação repentina em sua taxa de aleatoriedade estrutural. Ao detectar essa variação brusca, o sistema bloqueia imediatamente a replicação automática e emite um alerta de segurança para investigação manual.
2. Utilize Armazenamento Imutável (WORM)
O backup com imutabilidade física ou lógica impede que qualquer dado gravado seja modificado, reescrito ou excluído por qualquer usuário — inclusive credenciais de administrador com privilégios elevados — durante um intervalo de tempo predefinido (retenção bloqueada).
Mesmo se o processo de backup de produção tentar enviar blocos de dados corrompidos por criptografia intermitente, os pontos de restauração anteriores e perfeitamente íntegros permanecerão fisicamente intocados e protegidos contra a contaminação.
3. Fortaleça o Monitoramento de Integridade de Arquivos (FIM)
As soluções de Monitoramento de Integridade de Arquivos (FIM - File Integrity Monitoring) realizam verificações contínuas e estruturais na assinatura de arquivos críticos e diretórios de sistema. O FIM não foca na análise do comportamento do processo de gravação (como o EDR faz), mas sim na conformidade física e estrutural do arquivo em si. Se houver modificações não autorizadas em blocos específicos de sistemas legados ou diretórios estáticos, o host é preventivamente isolado da rede.
4. Realize Testes de Restauração Automatizados com Validação de Consistência Real
Validar o backup apenas verificando se o arquivo de log exibe a mensagem "Cópia concluída com sucesso" é um erro grave. Para garantir a imunidade contra a corrupção silenciosa, sua empresa deve adotar testes automatizados de restauração periódica em ambientes sandbox isolados.
Esses testes devem incluir scripts que montem os arquivos restaurados (como bases de dados SQL) e executem comandos internos para atestar que os dados estão estruturalmente íntegros, funcionais e consistentes.
---
Fortalecendo a Resiliência Cibernética Frente ao Invisível
A ameaça da criptografia intermitente deixa claro que a proteção digital moderna não pode repousar sobre a falsa segurança de uma única barreira de defesa. Os cibercriminosos adaptam suas táticas constantemente para explorar as limitações técnicas de sistemas confiáveis de monitoramento de endpoint.
Garantir a sobrevivência operacional da sua empresa exige uma abordagem holística e preventiva, que blinde desde as frentes de trabalho locais até a cadeia de custódia e armazenamento dos seus ativos de dados mais preciosos.
Sua empresa possui visibilidade em tempo real sobre a integridade estrutural das suas cópias de segurança? Para garantir que sua infraestrutura corporativa e seus backups estejam verdadeiramente protegidos contra as táticas evasivas mais destrutivas da atualidade, conte com o suporte de uma consultoria especializada. Entre em contato com nossa equipe de especialistas hoje mesmo para realizar uma auditoria completa de resiliência cibernética e impeça que ameaças silenciosas comprometam o futuro da sua organização.
Sua infraestrutura de TI está realmente blindada?
Não espere um incidente de segurança paralisar a sua operação. Descubra as vulnerabilidades antes dos atacantes.
