Falha em ransomware trava arquivos, destrói chave e frustra resgate

Pesquisadores da Check Point Research identificaram uma nova variante de ransomware que, por erro de programação, destrói os arquivos que deveria apenas bloquear para cobrar resgate. O malware, chamado VECT 2.0, é do tipo ransomware-as-a-service e surgiu originalmente em um fórum cibercriminoso russo em 2025.

Uma falha no código faz com que o programa destrua qualquer arquivo maior que 128 kb (kilobytes), um tamanho menor que o de um anexo de e-mail comum. Quando o VECT encripta um arquivo, ele precisa salvar um nonce criptográfico, um código secreto que permite a desencriptação posterior. Para arquivos grandes, o ransomware gera quatro desses códigos.

O erro de programação, no entanto, faz com que o programa sobrescreva cada código com um novo no mesmo espaço. É como escrever quatro combinações diferentes em um único papel e manter apenas a última. No final, três dos quatro códigos-chave desaparecem para sempre, tornando impossível usá-los para desencriptar o arquivo.

Isso significa que tanto os hackers quanto as vítimas e os pesquisadores de segurança nunca mais terão acesso ao arquivo, que fica efetivamente destruído. Pagar o resgate se torna inútil, o que também prejudica os criminosos.

A Check Point encontrou erros amadores no código do ransomware: ferramentas anunciadas que não funcionam, funções de evasão de segurança que estão lá, mas não foram ativadas, e técnicas de escape que se cancelam sem querer, deixando o código mais fácil de ler em vez de mais difícil.

Apesar da incompetência técnica, o VECT tem grande alcance. Há uma parceria com o BreachForums, uma das maiores comunidades hacker da internet, que dá a todos os usuários registrados acesso gratuito ao kit de ferramentas de ransomware. Ataques do tipo têm evoluído a ponto de incluir violência física, segundo especialistas.