O LockBit 5.0 é a versão mais avançada do grupo de ransomware mais ativo do mundo — e está atacando empresas brasileiras agora. Lançado em setembro de 2025, após a Operação Cronos ter derrubado sua infraestrutura em fevereiro de 2024, o LockBit não apenas sobreviveu à maior ação policial já realizada contra um grupo de ransomware. Além disso, voltou mais perigoso, com suporte simultâneo a Windows, Linux e VMware ESXi em um único ataque coordenado. Por isso, entender como o LockBit 5.0 funciona — e o que fazer se sua empresa for alvo — é urgente para qualquer gestor de TI no Brasil em 2026.
O que é o LockBit 5.0 e como ele surgiu
Da Operação Cronos ao retorno em versão 5.0
Em fevereiro de 2024, uma força-tarefa de autoridades do Reino Unido, Estados Unidos, Europol e outros países realizou a Operação Cronos — a maior ação já executada contra um grupo de ransomware. A operação apreendeu servidores, decriptou dados de vítimas e expôs a identidade de afiliados. Portanto, muitos acreditavam que o LockBit estava definitivamente encerrado.
Contudo, o grupo reconstruiu sua infraestrutura em semanas. Além disso, usou o período de inatividade para desenvolver uma versão completamente reformulada. Em setembro de 2025, o LockBit 5.0 foi anunciado no fórum dark web RAMP — coincidindo com o sexto aniversário do grupo. Por isso, a Operação Cronos não encerrou o LockBit. Na prática, acelerou sua evolução.
O modelo RaaS e o programa de afiliados
O LockBit opera como Ransomware-as-a-Service (RaaS). Portanto, o grupo central desenvolve e mantém o malware, enquanto afiliados independentes conduzem os ataques usando a infraestrutura disponibilizada. Além disso, o LockBit 5.0 introduziu um programa de bug bounty — pagando pesquisadores e afiliados que reportam vulnerabilidades no próprio malware para aprimorá-lo continuamente.
Nesse sentido, o nível técnico do atacante deixou de ser um fator limitante. Qualquer afiliado com acesso ao programa tem em mãos as mesmas ferramentas que os operadores mais sofisticados do grupo. Por isso, o volume de ataques cresceu exponencialmente: o LockBit 5.0 respondeu por 44% de todos os ataques de ransomware globais no período após seu lançamento.
Como o LockBit 5.0 ataca: a arquitetura técnica
Multiplataforma simultâneo: Windows, Linux e ESXi
A inovação mais importante do LockBit 5.0 é o suporte multiplataforma em um único ataque coordenado. Versões anteriores exigiam ferramentas separadas para cada sistema operacional. Com o 5.0, um único afiliado consegue criptografar servidores Windows, workloads Linux e toda a infraestrutura VMware ESXi ao mesmo tempo.
Para empresas brasileiras com ambientes híbridos — Active Directory no Windows, bancos de dados no Linux, máquinas virtuais no ESXi — isso significa que um único ataque bem-sucedido pode paralisar completamente a operação. Além disso, o ataque simultâneo reduz a janela de detecção, já que o SOC precisa responder a múltiplas frentes ao mesmo tempo. Para recuperação de máquina virtual ESXi após ransomware, o diagnóstico forense começa pela identificação de quais VMs foram atingidas e quais blocos de dados estão preservados.
O algoritmo de criptografia: XChaCha20
O LockBit 5.0 usa XChaCha20 como algoritmo de criptografia — uma escolha deliberada e tecnicamente significativa. O XChaCha20 é um cifrador de fluxo moderno, extremamente rápido, com segurança comprovada. Além disso, é resistente a ataques de timing e funciona com eficiência em hardware sem suporte a aceleração AES (comum em servidores Linux e ESXi antigos).
Portanto, a velocidade de criptografia do LockBit 5.0 é substancialmente maior que a das versões anteriores. Em ambientes corporativos grandes, isso significa que o ataque pode completar a criptografia de terabytes de dados antes que qualquer alerta seja gerado. Contudo, como os ransomwares modernos, o LockBit 5.0 usa criptografia parcial — criptografando apenas os primeiros blocos de arquivos grandes para ganhar velocidade. Por isso, a recuperação forense de VMDKs e bancos de dados é viável mesmo após um ataque do LockBit 5.0.
Evasão de defesa no Windows: as técnicas usadas
O build Windows do LockBit 5.0 tem as técnicas de evasão mais agressivas já documentadas em um ransomware. Além disso, cada técnica é projetada para neutralizar especificamente as ferramentas de defesa mais comuns em ambientes corporativos.
Process hollowing: o malware cria um processo legítimo do Windows — como svchost.exe ou explorer.exe — e substitui seu código em memória pelo payload do ransomware. Portanto, o EDR vê um processo de sistema legítimo em execução, não um malware.
DLL unhooking: ferramentas de segurança como EDRs e antivírus instalam hooks nas DLLs do sistema para monitorar chamadas de API suspeitas. O LockBit 5.0 restaura as DLLs originais do disco, removendo os hooks — ficando efetivamente invisível para o monitoramento em tempo real. Por isso, muitos EDRs convencionais não detectam o ataque até que a criptografia já está em andamento.
Patching do ETW (Event Tracing for Windows): o ETW é o mecanismo do Windows que registra eventos de segurança e alimenta os SIEMs corporativos. O LockBit 5.0 desabilita funções específicas do ETW diretamente na memória, impedindo que os eventos do ataque cheguem ao SIEM. Além disso, o patching do ETW apaga rastros retrospectivos — dificultando a análise forense pós-ataque.
Packing: o executável do malware é comprimido e criptografado, impedindo análise estática por antivírus baseados em assinatura. Portanto, scanners que não fazem análise comportamental em tempo de execução não detectam o LockBit 5.0.
LockBit 5.0 no ESXi: ataque direto ao hipervisor
O build ESXi do LockBit 5.0 merece atenção especial porque representa uma mudança de estratégia. Em vez de atacar as VMs individualmente, o LockBit criptografa diretamente os datastores do ESXi — os arquivos VMDK que contêm os discos de todas as VMs simultâneas. Além disso, ao operar no nível do hipervisor, o ataque fica fora do alcance dos agentes de segurança instalados dentro das VMs.
Por isso, um servidor ESXi com 20 VMs pode ter todas elas criptografadas em minutos — antes que qualquer VM individual detecte o ataque. Contudo, a criptografia parcial usada pelo LockBit 5.0 nos VMDKs grandes preserva frequentemente 60% a 80% do conteúdo. Portanto, a recuperação de VMware VMDK após LockBit 5.0 tem alta taxa de sucesso quando o diagnóstico forense começa rapidamente.
Dupla extorsão: criptografia e exfiltração simultâneas
O LockBit 5.0 opera com dupla extorsão — antes de criptografar, exfiltra os dados para servidores controlados pelo grupo. Portanto, mesmo que a empresa consiga recuperar os dados por backup ou recuperação forense, os criminosos ainda ameaçam vazar ou vender as informações roubadas.
Além disso, o LockBit mantém um Data Leak Site (DLS) onde publica os dados das vítimas que não pagam. Desde o lançamento do 5.0 em setembro de 2025, o grupo publicou mais de 100 vítimas no novo DLS. Por isso, o impacto do LockBit 5.0 vai além da perda de acesso aos dados — inclui risco regulatório sob a LGPD e dano reputacional.
O LockBit 5.0 no Brasil: o que os dados mostram
O LockBit 5.0 lidera os ataques de ransomware no Brasil em 2026. Segundo a Vision Cybersecurity, o Brasil concentra 36,3% de todos os ataques de ransomware confirmados na América Latina — e o LockBit 5.0 responde pela maior fatia desse volume. Portanto, para empresas brasileiras, o LockBit 5.0 não é uma ameaça abstrata — é o atacante mais provável em caso de incidente.
Os setores mais atingidos no Brasil são serviços corporativos, saúde e manufatura. Além disso, o modelo RaaS significa que empresas de qualquer porte podem ser alvo — afiliados com acesso ao LockBit 5.0 não têm restrição de tamanho de vítima. Por isso, pequenas e médias empresas com infraestrutura virtualizada e sem backup imutável estão em posição de risco especialmente alto.
O que fazer se sua empresa for alvo do LockBit 5.0
O protocolo das primeiras horas
A velocidade de resposta nos primeiros minutos define quanto dos dados é possível preservar. Primeiro, isole imediatamente os servidores afetados da rede — desconecte os cabos ou bloqueie as portas no switch. Contudo, não desligue os servidores pelo botão de energia. Segundo, documente o estado exato — fotos das telas com as mensagens de resgate, horário exato de detecção. Terceiro, acione a Crowdertech antes de qualquer outra ação: (11) 99630-0675 (WhatsApp 24h) ou (11) 4863-3636 (fixo).
Por que não pagar o resgate ao LockBit 5.0
Pagar o resgate ao LockBit 5.0 é a decisão com o pior custo-benefício. Primeiro, o pagamento não garante que a chave de decriptação funcione — o LockBit tem histórico documentado de chaves defeituosas. Segundo, pagar financia a expansão do grupo, que usa o dinheiro para recrutar afiliados e desenvolver a versão 6.0. Terceiro, empresas que pagam são marcadas como pagadoras e frequentemente recebem novos ataques em menos de 12 meses. Por isso, a Crowdertech recupera dados do LockBit 5.0 sem pagar resgate em 95% dos casos.
Como a Crowdertech recupera dados do LockBit 5.0
A criptografia parcial do LockBit 5.0 — que criptografa apenas os primeiros blocos de cada arquivo grande para ganhar velocidade — é a chave para a recuperação forense. Em VMDKs de máquinas virtuais, bancos de dados SQL Server e arquivos MDF/LDF, os blocos preservados contêm frequentemente 60% a 80% dos dados completos.
Além disso, o XChaCha20 usa uma chave de sessão gerada localmente que fica na memória RAM durante o ataque. Portanto, quando o servidor ainda está ligado no momento da detecção, a Crowdertech realiza forense de memória para capturar essa chave — o que pode permitir a decriptação completa sem pagar resgate.
Para ambientes ESXi atacados pelo LockBit 5.0, a Crowdertech reconstrói o VMFS virtualmente sobre imagens forenses dos datastores e extrai os VMDKs preservados. Em seguida, cada VMDK é analisado individualmente para extrair os dados das VMs. Para recuperação de RAID em servidor com LockBit 5.0, o processo inclui a reconstrução do arranjo antes da análise dos arquivos.
Como reduzir o risco do LockBit 5.0
Controles que realmente funcionam
MFA em todos os pontos de acesso remoto. O LockBit 5.0 entra frequentemente via credenciais RDP ou VPN comprometidas. O MFA elimina esse vetor de entrada. Além disso, desabilitar o RDP exposto diretamente à internet remove a superfície de ataque mais explorada.
Segmentação de rede. O ESXi não deve estar na mesma segmentação de rede que os workstations de usuários. Além disso, o acesso ao vCenter e à interface de gerenciamento do ESXi deve ser restrito a endereços IP específicos. Por isso, mesmo que um atacante comprometa um workstation, o acesso ao hipervisor fica bloqueado.
Backup imutável offline. O LockBit 5.0 ataca os backups antes de criptografar a produção. Portanto, backups sincronizados em tempo real com a rede são criptografados junto com os originais. A única proteção efetiva é o backup com Object Lock (imutabilidade) em storage desconectado da rede ou em nuvem com versioning ativado. Por isso, o backup “3-2-1-1” — três cópias, dois meios, um offsite, um imutável — passou de recomendação a requisito mínimo.
Atualização de firmware de controladoras e hipervisores. O LockBit 5.0 explora vulnerabilidades conhecidas em versões antigas do ESXi. Além disso, controladoras RAID com firmware desatualizado têm vulnerabilidades que permitem acesso direto ao storage. Por isso, manter ESXi, vCenter e firmware de controladoras atualizados fecha vetores de entrada importantes.
Perguntas frequentes sobre o LockBit 5.0
Detecção e prevenção
Como saber se minha empresa foi comprometida pelo LockBit 5.0 antes do ataque visível? O LockBit 5.0 realiza reconhecimento e exfiltração de dados antes de executar a criptografia — frequentemente ficando na rede por dias ou semanas. Portanto, sinais de alerta incluem lentidão inexplicável de rede, transferências grandes para destinos externos desconhecidos e processos incomuns em servidores. Além disso, logs de autenticação com tentativas de acesso em horários atípicos são indicadores frequentes de presença ativa.
O LockBit 5.0 ataca backups automaticamente? Sim. O LockBit 5.0 busca e criptografa backups acessíveis pela rede antes de iniciar a criptografia dos dados de produção. Por isso, backups em compartilhamentos de rede, NAS conectados e soluções de backup que mantêm credenciais salvas são alvos ativos. Contudo, backups com Object Lock em storage imutável não são afetados pela criptografia do LockBit.
O antivírus corporativo detecta o LockBit 5.0? Frequentemente não. O patching do ETW e o DLL unhooking tornam o LockBit 5.0 invisível para muitas soluções baseadas em assinatura e para EDRs que dependem de hooks de API. Além disso, o packing do executável impede análise estática. Por isso, soluções que fazem análise comportamental em sandbox ou que monitoram chamadas de sistema em nível de kernel têm melhor taxa de detecção.
Recuperação
A Crowdertech consegue recuperar dados do LockBit 5.0 sem a chave de decriptação? Sim, na maioria dos casos. A criptografia parcial do LockBit 5.0 preserva blocos significativos de arquivos grandes — VMDKs, MDF/LDF do SQL Server, backups .vbk. Além disso, a forense de memória RAM pode capturar a chave de sessão XChaCha20 quando o servidor ainda está ligado. Por isso, acionar a Crowdertech antes de desligar qualquer servidor é fundamental: (11) 99630-0675.
Qual é o prazo de recuperação após ataque do LockBit 5.0? O diagnóstico forense é entregue em horas. A recuperação de ambientes Windows Server leva de 24 a 72 horas para a maioria dos casos. Ambientes ESXi com múltiplas VMs levam de 3 a 7 dias dependendo do volume. Além disso, a Crowdertech prioriza a extração dos dados mais críticos primeiro — banco de dados e AD antes dos demais — permitindo retomada parcial da operação enquanto a recuperação completa prossegue.
O LockBit 5.0 deixa backdoors após o ataque? Sim, frequentemente. O grupo frequentemente instala RATs (Remote Access Trojans) e mantém persistência antes e durante o ataque. Por isso, mesmo após a recuperação dos dados, a análise forense do vetor de entrada e a varredura completa do ambiente são essenciais para garantir que o acesso dos atacantes foi completamente removido. A Crowdertech documenta o vetor de entrada identificado no laudo técnico final.
Conclusão
O LockBit 5.0 é o ransomware mais avançado e mais ativo em operação hoje — com suporte multiplataforma simultâneo, criptografia XChaCha20 ultrarrápida, evasão de EDR por DLL unhooking e ETW patching, e dupla extorsão com exfiltração de dados antes de criptografar. Contudo, a criptografia parcial que o grupo usa para ganhar velocidade é também a sua vulnerabilidade — e é o que permite à Crowdertech recuperar dados sem pagar resgate em 95% dos casos. Em resumo, prepare o ambiente antes do ataque, e saiba que especialistas estão disponíveis 24 horas se o ataque acontecer. A Crowdertech atende ataques de LockBit 5.0 desde a madrugada — (11) 99630-0675 · (11) 4863-3636.
Fontes: Acronis Threat Research Unit · Check Point Research · Vision Cybersecurity · Arete IR · CERT.br · CISA — StopRansomware.