Um programa, várias marcas
O DragonForce surgiu em 2023 usando o construtor do LockBit 3.0 que vazou na internet e depois migrou para uma base do Conti v3 modificada. No início de 2025 passou a se chamar de cartel: oferece programas configuráveis e infraestrutura a parceiros, que podem atacar com outro nome. Por isso a nota que você encontrou pode não citar DragonForce, mesmo que o programa seja dele.
A Acronis descreveu, em novembro de 2025, ataques em que o grupo conhecido como Scattered Spider fez a invasão por engenharia social e o DragonForce criptografou Windows, Linux e ESXi. A Sophos relatou, em maio de 2025, um caso em que o invasor entrou pela ferramenta de acesso remoto SimpleHelp de um provedor de TI e atingiu os clientes desse provedor.
Como a criptografia costuma ser configurada
A extensão e o nome da nota saem da configuração de cada versão. Na amostra estudada pela Acronis, a nota era readme.txt e a extensão era curta e própria daquela versão. A mesma configuração trazia limites de tamanho: arquivos pequenos cifrados por inteiro, outros só no cabeçalho e os maiores em trechos. O programa também pode usar drivers vulneráveis para desligar proteções.
Isso abre uma possibilidade a avaliar em arquivos grandes, como discos virtuais e bases de dados: partes podem ter ficado intactas. Não é regra. A configuração muda de parceiro para parceiro, e a resposta só sai da análise dos arquivos.
Onde a Data Rescue ajuda
A Data Rescue não entra na contenção do ataque, não investiga e não conversa com o grupo. Depois que a equipe responsável isolou o ambiente, você relata o que aconteceu e o envio é combinado por escrito, antes de você mandar qualquer coisa. Avaliamos discos, datastores do VMware, discos virtuais e repositórios de backup em busca de cópias anteriores e trechos aproveitáveis.