Uma nova família de ransomware chamada Osiris foi identificada em 2025 por pesquisadores da Symantec após um ataque a uma grande empresa no Sudeste Asiático. Além disso, a análise do malware revelou capacidades técnicas que tornam a recuperação convencional por backup significativamente mais difícil — e que redefinem o protocolo de proteção que as empresas precisam adotar agora.
O que é o ransomware Osiris e por que ele é diferente
O Osiris não é apenas mais uma variante de ransomware. Além disso, os pesquisadores da Symantec foram explícitos: trata-se de uma família completamente nova, sem conexão com o ransomware homônimo de 2016, com características técnicas que indicam operadores experientes e sofisticados.
O malware usa criptografia híbrida avançada combinando ECC (Elliptic Curve Cryptography) e AES-128-CTR, com chaves únicas geradas para cada arquivo criptografado. Portanto, ao contrário de ransomwares mais simples que usam uma única chave para toda a operação, o Osiris torna a recuperação pela chave praticamente impossível — mesmo que os criminosos a entreguem, ela só funciona arquivo a arquivo.
A técnica mais perigosa: destruição de backups antes da cifragem
O aspecto mais preocupante do Osiris não é a criptografia em si — é o que ele faz antes de cifrar. O ransomware encerra bancos de dados e serviços de backup enquanto deleta snapshots de volume para prevenir recuperação. Essa sequência é devastadora para empresas que dependem de VSS (Volume Shadow Copy) e snapshots de VM como linha de defesa.
Por isso, quando o Osiris termina sua fase de preparação, a empresa frequentemente descobre que:
- Os serviços de backup foram encerrados antes da cifragem começar
- Os snapshots de volume foram deletados sistematicamente
- Os logs de backup aparecem como bem-sucedidos mas os arquivos não existem mais
Portanto, a estratégia de “backup funciona como última linha de defesa” é especificamente o que o Osiris foi desenhado para neutralizar.
Living off the Land: usando as próprias ferramentas da empresa
A campanha revelou como cibercriminosos modernos abusam de utilitários cotidianos do Windows junto a software malicioso desenvolvido sob medida para evitar detecção e burlar controles de segurança. Na prática, o Osiris usa ferramentas como:
AnyDesk e MeshAgent: ferramentas legítimas de acesso remoto usadas para persistência e movimentação lateral sem disparar alertas de antivírus — afinal, essas ferramentas são usadas por equipes de TI legitimamente.
PsExec: utilitário da Microsoft Sysinternals usado para executar processos remotamente. Por isso, o malware executa comandos nos servidores sem instalar nada adicional.
Mimikatz: o ransomware utilizou o Mimikatz para extração de credenciais, especificamente em uma versão renomeada como kaz.exe. Com as credenciais extraídas, os atacantes se movem lateralmente por todos os sistemas com acesso privilegiado.
Driver Poortry: o Osiris usa o driver malicioso Poortry para desabilitar softwares de segurança em nível de kernel. Portanto, mesmo EDRs e antivírus corporativos são neutralizados antes que possam detectar a atividade maliciosa.
O cenário de 2025 e 2026: extorsão sem criptografia cresce
O Osiris é parte de um cenário ainda mais amplo. Além dos ataques com cifragem, em 2025, somando campanhas de extorsão que não implantam ransomware mas apenas roubam dados e chantageiam, o total de extorsões chegou a 6.182 — um salto de 23% sobre 2024. Portanto, a pergunta para empresas brasileiras em 2026 não é mais “vou ser atacado?” — é “qual tipo de ataque vai me atingir primeiro e onde minha defesa está cega?”.
Em 2024 foram registrados 5.414 ataques globais de ransomware, um aumento de 11% em relação a 2023. Além disso, o Brasil segue entre os principais alvos da América Latina.
O que o Osiris muda no protocolo de proteção
Diante das capacidades do Osiris — e de famílias similares — algumas premissas precisam ser revisadas imediatamente:
VSS não é proteção suficiente: o Osiris deleta snapshots antes de cifrar. Portanto, confiar no VSS como backup é uma vulnerabilidade, não uma proteção.
Backup offsite com imutabilidade é obrigatório: backups que o ransomware não consegue alcançar ou modificar são a única defesa eficaz. Além disso, o backup precisa estar em armazenamento com imutabilidade ativada — Object Lock, WORM ou fita.
Ferramentas legítimas de acesso remoto são vetores: AnyDesk, TeamViewer e similares instalados na rede são caminhos de entrada. Portanto, o inventário e controle dessas ferramentas deve ser parte do programa de segurança.
EDR precisa de proteção de kernel: o driver Poortry neutraliza soluções de segurança em nível de kernel. Por isso, soluções com proteção de integridade de kernel — Secure Boot e HVCI — são necessárias em ambientes críticos.
O que fazer se o Osiris ou similar atacar sua empresa
O protocolo não muda — mas a urgência aumenta:
- Isole imediatamente todos os servidores afetados da rede
- Não desligue abruptamente — o estado da memória pode conter informações forenses
- Não reinstale nem formate nenhum sistema antes do diagnóstico
- Verifique backups offsite antes de assumir que não há recuperação
- Acione especialistas — a Crowdertech atende emergências 24 horas
Além disso, mesmo com backups deletados e snapshots apagados, a recuperação forense ainda é possível em muitos casos — porque a criptografia parcial do Osiris em arquivos grandes deixa áreas preservadas nos blocos físicos.
Keywords técnicas para SEO
ransomware Osiris 2025 · ECC AES-128-CTR ransomware · Living off the Land ataque · Poortry driver · snapshot deletion ransomware · backup destruction ransomware · VSS shadow copy ransomware · MeshAgent malware · ransomware extorsão sem criptografia · nova família ransomware Brasil · ransomware 2025 2026 · ransomware proteção · backup imutável · WORM storage · recuperação ransomware sem pagar
Perguntas frequentes sobre o ransomware Osiris
O ransomware Osiris já chegou ao Brasil? Famílias similares que apagam backups e snapshots já atacam empresas brasileiras regularmente. Além disso, o padrão técnico do Osiris — Living off the Land mais destruição de backups — é adotado por grupos que já operam ativamente no Brasil.
Se o ransomware apagou os snapshots, ainda há recuperação? Sim, em muitos casos. A recuperação forense não depende de snapshots — acessa os dados diretamente nos blocos físicos do storage. Além disso, a criptografia parcial do Osiris em arquivos grandes preserva boa parte do conteúdo.
Backup em nuvem é suficiente para se proteger do Osiris? Depende. Backups em nuvem com versionamento ativado e imutabilidade são protegidos. Contudo, backups sincronizados em tempo real — como OneDrive ou Google Drive sem versionamento — são cifrados junto com os arquivos originais.
Como saber se a empresa foi comprometida antes da cifragem? O Osiris usa ferramentas legítimas como AnyDesk e PsExec que deixam rastros nos logs de evento do Windows. Portanto, uma análise forense dos logs antes do ataque frequentemente revela o período de presença do atacante.
Conclusão
O ransomware Osiris de 2025 representa uma evolução significativa em sofisticação — não apenas na criptografia, mas na destruição sistemática de backups e snapshots antes da cifragem. Além disso, o uso de ferramentas legítimas do Windows torna a detecção convencional ineficaz. Por isso, backup imutável offsite deixou de ser boa prática e passou a ser requisito mínimo. Sofreu um ataque de ransomware? A Crowdertech recupera dados sem pagar resgate — (11) 99630-0675. Veja também recuperação de ransomware e laudos forenses.
Fontes: CISO Advisor — Ransomware Osiris · IT Forum — Ransomware 2025 · Backup Garantido — Extorsão 2026.