Corram para as montanhas!
Enquanto muitas empresas ainda não adotaram os algoritmos de criptografia pós-quantica, não é que os criminosos fizeram isso!? Segundo a empresa de cibersegurança Rapid7, foi identificada uma nova operação do ransomware Kyber, com ataques recentes à sistemas Windows e endpoints VMware ESXi, que está utilizando uma variante que possui implementado o algoritmo de criptografia pós-quântica Kyber1024, usada para geração de chaves.
A empresa recuperou e analisou duas variantes distintas do ransomware Kyber em março de 2026, durante uma resposta a incidentes. Ambas as variantes foram implantadas na mesma rede, uma visando o VMware ESXi e a outra focando em servidores de arquivos Windows.
A variante para Windows, do ransomware, escrita em Rust, implementa o Kyber1024 e X25519 para proteção de chaves. Mas, apesar da nota de resgate anunciar o uso da criptografia pós-quântica baseada no encapsulamento de chaves Kyber1024, ao analisar o algoritmo de criptografia do ransomware a Rapid7 descobriu que essa alegação é falsa para o criptografador para ESXi no Linux. Na verdade, a versão para Linux do ransomware usa o algoritmo ChaCha8 para criptografia de arquivos e RSA-4096 para encapsulamento de chaves.
Embora o uso da criptografia pós-quântica seja notável, isso não altera as consequências para as vítimas. Independentemente de o criptografador usar RSA ou Kyber1024: uma vez que os algoritmos sejam implementados corretamente, os arquivos permanecem irrecuperáveis sem acesso à chave privada do atacante.
Mes esse caso mostra o início do que pode ser uma tendência no cibercrime: uso de criptografia pós-quântica para tornar os malwares e ransomwares mais robustos e resistentes aos mecanismos de defesa. Fora que, o simples fato de anunciar que o ransomware utliza algoritmos de criptografia pós-quântica, já causa um maior temor nas vitimas.
Dessa forma, o meu "contador de extorsões dos grupos de ransomware" que eu mantenho periodicamente aqui no blog fica atualizado para 18 técnicas distintas de extorsão, muito além do "double extorsion" que muitos especialistas sempre falam por aí:
- O clássico: sequestrar (criptografar) os computadores e/ou dados locais;
- Vazar os dados roubados e ameaçar expor publicamente ("double extorsion");
- Realizar ataques de DDoS contra a empresa;
- Uso de call centers que ligam para a empresa atacada pelo ransomware;
- Avisar os clientes que a empresa teve os dados roubados!
- Avisar os acionistas, para que estes possam vender suas ações antes de divulgar o ataque;
- Vazar documentos que mostrem práticas ilegais da empresa;
- Vazar documentos confidenciais para os competidores;
- Uso de imagens violentas para assustar as vítimas;
- Fornecer acesso pesquisável aos dados roubados;
- Expor as vítimas em site público na Internet;
- Vazar os dados das vítimas via Torrent;
- Oferecer acesso aos dados roubados via API;
- Evitar o pagamento de multas regulatórias (Digital Peace Tax);
- Denunciar a vítima aos órgãos reguladores;
- Falsa denúncia de pornografia;
- Denunciar para os pais das vítimas;
- Usar Criptografia Pós-Quântica.
Para saber mais:
- Aqui no blog: A Criptografia Pós-quântica é realidade!
- Relatório da Rapid7 (em inglês) (21/04/2026): Kyber Ransomware Double Trouble: Windows and ESXi Attacks Explained
- Kyber ransomware gang toys with post-quantum encryption on Windows
