Pesquisadores japoneses compararam quatro momentos possíveis para disparar um backup automático de arquivos — na abertura, na leitura, na escrita ou na renomeação — como forma de preservar cópias limpas antes que o ransomware consiga criptografá-las. Os testes usaram um protótipo baseado no sistema ROFBS sobre XFS e amostras reais de Conti, Sodinokibi, AvosLocker, REvil e HelloKitty para medir o equilíbrio entre recuperação de arquivos e volume de backups gerados.
A Magnet Forensics publicou um guia metodológico que estrutura a investigação de incidentes de ransomware em cinco fases, da contenção guiada por evidências até a documentação pós-incidente. O texto enfatiza a ordem correta entre preservação de evidências voláteis e contenção, e como os achados forenses devem orientar as decisões de remediação e recuperação.
Pesquisadores tratam a execução de ransomware como um problema de otimização de engenharia de software baseada em busca, usando um algoritmo genético para calibrar a criptografia de arquivos de forma que o desvio estatístico em relação à atividade normal do sistema permaneça mínimo. O resultado são padrões de ataque capazes de escapar de monitores comportamentais e técnicas de fingerprinting, permanecendo ocultos por horas em vez de minutos.
Análise detalhada de uma intrusão real: um resultado de busca envenenado no Bing leva ao carregador Bumblebee, que instala o C2 AdaptixC2 e termina no ransomware Akira. O relatório mapeia as TTPs completas — acesso inicial, persistência, movimentação lateral e criptografia.
Odin Heitmann e Jan William Johnsen revisitam, na Forensic Science International: Digital Investigation, o processo investigativo por trás do ataque de ransomware LockerGoga que paralisou a Norsk Hydro em 2019, extraindo lições práticas sobre resposta a incidentes e investigação de cibercrime em larga escala.
Flash report de uma intrusão em que o RAT EtherRat e o servidor de comando-e-controle TukTuk pavimentam o caminho até o ransomware The Gentleman, com a cadeia de ataque e os indicadores de comprometimento documentados para caça e detecção.
Análise de intrusão em que a exploração de uma falha no Apache ActiveMQ dá o acesso inicial que termina na implantação do ransomware LockBit. O relatório reconstrói toda a cadeia, do exploit à criptografia, com IOCs e detecções.
Relatório da The DFIR Report reconstrói uma intrusão completa do ransomware Lynx, iniciada em março de 2025 por um logon RDP bem-sucedido usando credenciais já comprometidas (sem indícios de força bruta), passando por reconhecimento de rede, movimentação lateral até o controlador de domínio, exfiltração de dados via 7-Zip/temp.sh e culminando na implantação do ransomware e exclusão dos jobs de backup do Veeam. A cadeia de eventos, com IOCs e cronologia detalhados, é um caso de referência para times de resposta a incidentes.
O DFIR Report, em parceria com a Proofpoint, documentou desde maio de 2025 uma campanha ligada ao Interlock que compromete sites legítimos para exibir um falso CAPTCHA e induzir a vítima a colar e executar um comando PowerShell (padrão FileFix/ClickFix). A partir de junho de 2025 os autores identificaram uma nova variante do RAT Interlock reescrita em PHP, abandonando a base anterior em JavaScript (NodeSnake), com canal de comando e controle escondido atrás de túneis Cloudflare. O relatório traz a cadeia de execução completa, TTPs mapeados no MITRE ATT&CK e indicadores de comprometimento.
O DFIR Report reconstruiu uma intrusão iniciada em novembro de 2024 por password spray contra um servidor RDP exposto à internet, que evoluiu ao longo de seis dias até a implantação do ransomware RansomHub. O invasor combinou Mimikatz, ferramentas de varredura de rede, software de RMM legítimo (Atera, Splashtop) e Rclone para exfiltrar cerca de 2 GB de dados antes de encriptar o ambiente. O relatório detalha cada fase da cadeia de ataque com IOCs e mapeamento MITRE ATT&CK.