Ransomware Lynx: de um único logon RDP a nove dias de intrusão até a criptografia dos arquivos
Relatório da The DFIR Report reconstrói uma intrusão completa do ransomware Lynx, iniciada em março de 2025 por um logon RDP bem-sucedido usando credenciais já comprometidas (sem indícios de força bruta), passando por reconhecimento de rede, movimentação lateral até o controlador de domínio, exfiltração de dados via 7-Zip/temp.sh e culminando na implantação do ransomware e exclusão dos jobs de backup do Veeam. A cadeia de eventos, com IOCs e cronologia detalhados, é um caso de referência para times de resposta a incidentes.
O incidente começou com o acesso via RDP a um sistema exposto à internet usando credenciais válidas já comprometidas — provavelmente obtidas por infostealer, reuso de senhas vazadas em outra violação, ou compra de acesso de um initial access broker, já que não houve tentativas de força bruta ou credential stuffing a partir do IP de origem (195.211.190.189). Esse detalhe é relevante para a forense porque desloca o foco da investigação de "como a senha foi quebrada" para "onde e quando essa credencial vazou".
Em seguida, o atacante usou SoftPerfect Network Scanner e NetExec para mapear a rede e enumerar compartilhamentos SMB, migrou para o controlador de domínio em poucos minutos usando outra credencial administrativa comprometida, e criou contas fraudulentas com nomes similares a contas legítimas (typosquatting de contas, como "administratr"), adicionando-as ao grupo Domain Admins com senha configurada para nunca expirar — uma técnica clássica de persistência disfarçada que exige atenção redobrada na revisão de contas privilegiadas durante a análise de Active Directory.
A exfiltração ocorreu no sexto dia, com dados de múltiplos compartilhamentos compactados via 7-Zip e enviados ao serviço público temp.sh diretamente pelo navegador — uma rota de exfiltração que evade soluções de DLP focadas em protocolos corporativos tradicionais. No nono dia, o ransomware Lynx (w.exe) foi implantado via RDP nos servidores de backup e arquivos, com parâmetros que priorizam velocidade (--mode fast), e os jobs de backup do Veeam foram deliberadamente apagados para impedir recuperação — um padrão que reforça a importância de backups imutáveis e isolados da rede de produção.
O valor prático deste relatório está na riqueza de artefatos reconstituídos ao longo de uma janela de aproximadamente 178 horas: hashes de ferramentas (netscan, nxc, w.exe), IPs de origem e de C2, e o nome do host usado pelo operador. Esses IOCs, junto com a sequência de TTPs, permitem que outras organizações validem se possuem detecção para cada etapa da cadeia — desde o RDP exposto até a criação de contas administrativas fraudulentas — antes que um incidente semelhante avance até a fase de criptografia.