Da busca no Bing ao ransomware: Bumblebee e AdaptixC2 entregam o Akira
Análise detalhada de uma intrusão real: um resultado de busca envenenado no Bing leva ao carregador Bumblebee, que instala o C2 AdaptixC2 e termina no ransomware Akira. O relatório mapeia as TTPs completas — acesso inicial, persistência, movimentação lateral e criptografia.
A cadeia documentada nesta intrusão real começa onde poucos programas de segurança olham: um resultado envenenado de busca no Bing. A vítima procura software legítimo, clica no resultado promovido pelo atacante e recebe o carregador Bumblebee — SEO poisoning fazendo o papel que o e-mail de phishing fazia há dez anos.
Do Bumblebee, a intrusão instala o AdaptixC2 — framework de comando e controle de código aberto que vem ganhando adoção criminosa — e progride pelo ambiente: reconhecimento, credenciais, movimentação lateral, até a implantação do ransomware Akira e a criptografia do parque. O relatório mapeia cada TTP ao MITRE ATT&CK com os artefatos correspondentes.
Para o defensor e para o perito, o valor está nos detalhes acionáveis: quais eventos cada fase deixou, quais detecções teriam disparado e os IOCs completos. Para a perícia pós-incidente, análises assim são gabarito — a lista do que procurar quando o cliente chega com o ambiente já criptografado.