Análise de Ransomware Benzona

Em novembro de 2025, uma nova variante sofisticada de ransomware conhecida como Benzona surgiu, rapidamente ganhando fama por atingir organizações na Europa, Ásia e África Ocidental. Operando em um modelo de Ransomware-as-a-Service (RaaS), o Benzona emprega táticas agressivas de dupla extorsão, ameaçando vazar dados confidenciais se suas exigências não forem atendidas.

Esta análise técnica detalha a cadeia de ataque do Benzona, Indicadores de Comprometimento (IOCs) e estratégias de defesa acionáveis para profissionais de segurança.

A Cadeia de Ataque Benzona

O Benzona segue um ciclo de vida de ataque estruturado, projetado para maximizar o impacto e impedir a recuperação.

1. Acesso Inicial e Execução

Os invasores geralmente obtêm entrada por meio de campanhas de phishing, credenciais comprometidas ou explorando vulnerabilidades não corrigidas em aplicativos voltados para o público. Uma vez dentro, o ransomware utiliza:

Injeção de Processo (T1055): Injeção de código malicioso em processos legítimos para evitar detecção.
Intérpretes de Script (T1059): Aproveitando o PowerShell para executar comandos e desativar controles de segurança.

2. Evasão e Persistência

Para manter o acesso e evitar a detecção de antivírus, o Benzona:

Desativa a Recuperação: Executa comandos para excluir Volume Shadow Copies (vssadmin.exe Delete Shadows /All /Quiet) e remover pontos de Restauração do Windows.
Encerra Processos: Mata software de segurança e processos de virtualização para evitar análises e garantir que os arquivos não sejam bloqueados durante a criptografia.
Modifica o Registro: Altera chaves de registro para garantir persistência entre reinicializações.

3. Criptografia e Exfiltração (Dupla Extorsão)

O Benzona usa algoritmos criptográficos fortes para bloquear arquivos de vítimas.

Extensão de Arquivo: Arquivos criptografados são anexados com a extensão .benzona (por exemplo, relatorio_financeiro.pdf.benzona).
Roubo de Dados: Antes da criptografia, o malware exfiltra dados confidenciais para um servidor de comando e controle (C2). Esses dados roubados são a alavanca para o segundo estágio de extorsão.

4. A Nota de Resgate

Após a conclusão da criptografia, uma nota de resgate intitulada RECOVERY_INFO.txt é deixada nos diretórios afetados. A nota normalmente contém:

Um aviso de que os arquivos estão criptografados e os dados foram roubados.
Uma ameaça de publicar os dados se o resgate não for pago em 72 horas.
Instruções para baixar o Navegador Tor e visitar um portal de bate-papo .onion específico para negociação.

Indicadores de Comprometimento (IOCs)

As equipes de segurança devem verificar os seguintes indicadores para detectar atividades do Benzona.

Indicadores de Arquivo

Extensão: .benzona
Nota de Resgate: RECOVERY_INFO.txt

Indicadores de Rede

Portal de Chat Tor: http://rwsu75mtgj5oiz3alkfpnxnopcbiqed6wllyoffpuruuu6my6imjzuqd.onion/
Site de Vazamento: http://benzona6x5ggng3hx52h4mak5sgx5vukrdlrrd3of54g2uppqog2joyd.onion

Hashes de Arquivo (SHA-256)

09f7432834ce15e701aa7fcc84a9c2441c1c7e0a9cb66a6211845be73d2597cc
1c895eeb1d6ab9e5268759558c765b93f4c183557cb2c457857b91532ac61982

Estratégias de Defesa e Mitigação

Atualmente, não há descriptografador gratuito disponível para o ransomware Benzona. Prevenção e resposta rápida são suas únicas defesas.

Backups Imutáveis: Garanta que você tenha backups offline e imutáveis. O Benzona visa e exclui backups online e cópias de sombra.
Gerenciamento de Patches: Priorize a correção de sistemas voltados para a Internet para evitar o acesso inicial.
Segmentação de Rede: Limite o movimento lateral segmentando redes críticas.
Detecção e Resposta de Endpoint (EDR): Implante soluções EDR configuradas para bloquear injeção de processo e modificações de arquivos em massa.
Treinamento de Usuários: Realize simulações de phishing para educar os funcionários sobre o reconhecimento de e-mails maliciosos.

Coleta de Evidências nas Primeiras 24 Horas

A qualidade de qualquer investigação posterior depende do que for preservado antes da limpeza do ambiente. Se a decisão for desligar servidores comprometidos, capture antes a memória volátil com uma ferramenta forense e armazene o resultado em mídia somente leitura: um dump de RAM pode conter o binário do Benzona em execução, chaves de sessão e destinos de exfiltração que já desapareceram dos registros.

Fontes de log prioritárias:

Eventos 4624 e 4625 do Windows: logins bem-sucedidos e falhos, usados para reconstruir o movimento dos invasores via RDP e para estimar a janela de residência real do intruso.
Eventos do Sysmon (ID 1 e ID 11): criação de processos e de arquivos, o que permite apontar o momento exato em que vssadmin.exe apagou as cópias de sombra.
Logs de VPN, gateway e controlador de domínio: correlacionem carimbos de data/hora com os arquivos .benzona para separar o que o ransomware cifrou do que apenas foi acessado.

Exporte tudo com os metadados intactos e calcule o hash SHA-256 de cada exportação — o mesmo algoritmo dos IOCs desta página serve para autenticar a sua própria evidência diante da seguradora e das autoridades. Guarde ainda duas ou três amostras pequenas de arquivos criptografados (um PDF, um .docx, um .jpg) ao lado dos equivalentes não cifrados que existirem em backup. Esses pares são o material que pesquisadores utilizam para testar fraquezas futuras no esquema criptográfico da variante: sem eles, uma ferramenta de recuperação eventualmente publicada anos depois terá aplicabilidade limitada ao seu caso.

Procedimento de Resposta: as Primeiras 72 Horas

Isolamento cirúrgico, não desligamento total. Desconecte os segmentos atingidos da rede, mas mantenha os hosts-chave energizados enquanto a memória volátil não for capturada. Desligar tudo de uma vez destrói evidência e congela registros em RAM.
Revogação de credenciais em massa. Redefina toda senha privilegiada, token de MFA e chave de API tocada durante a janela de ataque. Se o Active Directory for comprometido, redefina a conta krbtgt duas vezes, com intervalo entre as redefinições, para invalidar tickets forjados com as técnicas de Golden Ticket.
Bloqueio dos canais de exfiltração. Os destinos .onion listados acima não resolvem por DNS comum, mas os endereços IP de saída usados no roubo de dados aparecem nos registros do firewall — negue-os na borda para fechar o segundo estágio da extorsão enquanto a criptografia ainda está em andamento.
Mapeamento do escopo com consulta somente leitura. Um Get-ChildItem -Recurse -Filter *.benzona em modo leitura conta os arquivos por unidade e encerra a dúvida sobre quais volumes exigem restauração. Nada de formatação nesta etapa.
Congelamento e validação de backups. Desconecte fisicamente o NAS de backup, aplique object lock nos snapshots em nuvem e teste a integridade de um conjunto fora da rede comprometida antes de planejar qualquer restauração — o Benzona procura ativamente compartilhamentos montados e repositórios online.
Apoio externo quando faltar capacidade interna. Se a equipe não tiver laboratório forense ou habilidade de reconstrução, contrate respaldo especializado antes de tocar no ambiente: fale com a equipe CyberLord para uma avaliação preliminar.

Critérios de Decisão e Faixas de Esforço

Sem descriptografador público, as alternativas se reduzem a três rotas, cada uma com um critério objetivo:

Restaurar a partir de backup imutável quando o conjunto crítico sobreviveu e valida sem corrupção. Como ordem de grandeza, considere de 4 a 12 horas de trabalho técnico por servidor: o tempo real vai para dependências, bancos de dados e testes de aplicação, não para a cópia dos arquivos.
Reconstruir e recriar conteúdo por fontes alternativas quando o backup for parcial. Arquivos .benzona sem cópia de segurança permanecem cifrados; e-mails em nuvem, versões anteriores em SaaS e sistemas de gestão de documentos frequentemente cobrem mais do que se assume — inventarie essas fontes antes de aceitar a perda.
Resposta a incidentes sob contrato quando a rede estiver comprometida de ponta a ponta. Um caso de médio porte costuma consumir de 120 a 300 horas-homem somando forensia, reconstrução e hardening posterior — a alternativa sem contrato costuma sair mais caro porque cada decisão é improvisada sob pressão.

Modos Comuns de Falha na Recuperação

Restaurar sobre hosts ainda infectados: subir o backup em um servidor cuja persistência não foi removida produz nova criptografia em horas ou dias, muitas vezes durante a madrugada. Reconstrua a imagem base antes de restaurar dados.
Confiança em um backup que estava montado: cópias conectadas no momento do ataque frequentemente foram cifradas junto com o restante. Valide arquivos aleatórios do conjunto offline antes de apostar nele.
Reabrir o acesso remoto com as credenciais antigas: liberar a VPN ou o RDP sem redefinir tudo reabre a mesma porta que os invasores usaram. Hardening primeiro, acesso depois.
Apressar a formatação: apagar as evidências impossibilita o registro do boletim de ocorrência, a validação do sinistro junto à seguradora e qualquer análise futura dos hashes publicados nesta página.
EDR em modo auditoria durante o retorno à produção: monitores que apenas registram não impedem o segundo ataque; mantenha o modo bloqueio ativo enquanto a rede volta ao ar.

Exemplo Referência (Cenário Hipotético)

Para calibrar expectativas, um exemplo didático — não um caso real: uma transportadora de médio porte com 180 estações e 14 servidores é atingida após um phishing de credenciais na segunda-feira; no fim de semana, os invasores exploram uma conexão RDP exposta e na quinta-feira os volumes somem sob a extensão .benzona, com exclusão prévia das cópias de sombra. O mapeamento mostra cerca de 110 hosts cifrados. Nove dos servidores-chave são restaurados a partir de snapshots imutáveis em nuvem em três dias; as estações são reconstruídas em mais cinco, com o EDR em modo de bloqueio. O servidor de arquivos antigo, fora do ciclo de backup, mantém seus arquivos em .benzona: parte do conteúdo é recriada a partir de e-mails em nuvem e do SaaS de gestão. Somando forensia, reconstrução e hardening, o esforço aproxima 200 horas-homem — e a lição operacional fica no último item: o servidor fora do backup foi a única perda definitiva.

Conclusão

O Benzona representa a evolução contínua das ameaças de RaaS no final de 2025. Seu uso de dupla extorsão e técnicas anti-recuperação o torna um adversário formidável. As organizações devem passar de uma postura reativa para uma mentalidade proativa de "assumir violação", focando em resiliência e recuperação rápida.

Se você foi atingido pelo Benzona, não pague o resgate imediatamente. Entre em contato com uma equipe profissional de resposta a incidentes para avaliar suas opções.

Visão geral

Decisões principais, riscos e ações de implementação para este tópico.

Análise de Ransomware Benzona: IOCs, Possibilidades de Descriptografia e Estratégias de Defesa