Nas primeiras horas após um ataque ransomware, a maioria das empresas toma pelo menos uma decisão que torna a recuperação mais difícil — e muitas vezes impossível. Não por descuido, mas porque as ações instintivas diante de um servidor cifrado são exatamente as erradas do ponto de vista forense. Este artigo documenta os erros mais comuns nas primeiras horas e o que fazer em vez deles.

Os erros mais destrutivos nas primeiras horas após ataque ransomware

Reiniciar o servidor para “limpar” o malware. O reinício força o Windows a tentar inicializar sobre um sistema de arquivos que o ransomware deixou em estado inconsistente. Além disso, reiniciar apaga o conteúdo da RAM — e em alguns cenários a chave de sessão do ransomware ainda está em memória, acessível por forense antes do desligamento. Por isso, nunca reinicie um servidor durante ou logo após um ataque ativo.

Rodar antivírus ou ferramentas de remoção imediatamente. O antivírus vai quarentenar ou deletar arquivos do ransomware — que são exatamente os arquivos que o especialista de recuperação precisa analisar para identificar a família, a versão e, em alguns casos, encontrar vulnerabilidades no algoritmo de cifragem. Veja como a Crowdertech usa essa análise na recuperação de ransomware sem pagar resgate.

Tentar decriptar com ferramentas genéricas da internet. Algumas famílias de ransomware têm descriptores públicos disponíveis no site No More Ransom. Contudo, aplicar o descritor errado — de uma versão diferente do mesmo ransomware — pode corromper os blocos cifrados de forma irreversível. Além disso, a maioria das ferramentas genéricas não funciona com variantes de 2025-2026.

Formatar e reinstalar antes da forense. A reinstalação resolve o problema do malware, mas destrói permanentemente os dados que ainda existem nos blocos físicos dos discos. Além disso, mesmo após a cifragem, a maioria dos ransomwares modernos cifra apenas os primeiros blocos de arquivos grandes — arquivos de banco de dados e VMDKs frequentemente têm 60% a 80% do conteúdo preservado e acessível por forense.

Pagar o resgate antes de tentar recuperação. O pagamento não garante que a chave funcione. Além disso, algumas famílias — incluindo variantes do Vect 2.0 ativo no Brasil em 2026 — têm capacidade de destruição permanente de dados mesmo após o pagamento. Portanto, o pagamento deve ser a última opção, não a primeira.

O protocolo correto nas primeiras horas

Hora 0 — Detecção: Isole os servidores afetados da rede sem desligar. Fotografe as telas e anote o horário exato. Ligue imediatamente para a Crowdertech: (11) 99630-0675 ou (11) 4863-3636.

Hora 1 — Triagem remota: A Crowdertech conecta remotamente ao ambiente para identificar quais servidores foram afetados, quais ainda estão íntegros e o estado dos backups. Além disso, identifica a família do ransomware — informação crítica para determinar se existe descritor público ou se a forense é o único caminho.

Hora 2 a 4 — Preservação: Imagem forense de cada servidor afetado antes de qualquer tentativa de recuperação. Isso preserva o estado exato dos discos no momento do ataque — incluindo os blocos preservados pela cifragem parcial — para análise sem risco ao original. Para servidores com bancos de dados SQL Server, MySQL ou PostgreSQL, a imagem forense é o que possibilita a extração linha a linha depois.

Hora 4 em diante — Recuperação: Com as imagens forenses prontas, a Crowdertech inicia a extração dos dados preservados pela cifragem parcial, a reconstrução de volumes RAID afetados e a recuperação dos bancos de dados — nessa ordem de prioridade para minimizar o tempo de inatividade operacional.

Por que cada hora conta em São Paulo

Para empresas em São Paulo, cada hora de inatividade tem custo mensurável — especialmente em operações no polo da Faria Lima, Berrini e Centro. Além disso, ataques de ransomware que começam de madrugada frequentemente chegam ao pico de impacto exatamente no horário de abertura do expediente, quando todos os sistemas que “não funcionam” são descobertos de uma vez.

A Crowdertech está na Vila Olímpia — a menos de 10 minutos das principais regiões corporativas de São Paulo — e atende retirada de hardware físico no mesmo dia para emergências. Para recuperação de dados urgente em São Paulo, o diagnóstico começa no mesmo dia do chamado.

Perguntas frequentes

O ransomware cifrou os backups também — ainda tem recuperação? Sim, frequentemente. Backups com cifragem parcial preservam boa parte do conteúdo. Além disso, a Crowdertech analisa cada arquivo de backup individualmente para identificar o que ainda é restaurável.

Tenho 20 servidores cifrados — por onde começo? Ligue agora: (11) 99630-0675 ou (11) 4863-3636. A Crowdertech faz a triagem remota e define a ordem de prioridade com base no impacto operacional de cada servidor.

Posso continuar usando os servidores não afetados? Com cuidado. A Crowdertech orienta quais servidores isolar preventivamente e quais podem continuar em operação com monitoramento reforçado enquanto a recuperação dos afetados prossegue.

Conclusão

Nas primeiras horas após um ataque ransomware, o que você não faz é tão importante quanto o que você faz. Além disso, cada ação errada fecha uma porta de recuperação que não reabre. Em resumo, isole, preserve, documente e acione especialistas antes de qualquer outra decisão. A Crowdertech atende desde a madrugada — (11) 99630-0675 · (11) 4863-3636.

Fontes: CISA — Ransomware Guide · No More Ransom · CERT.br.