Pular para o conteúdo
Data Rescue
Notebook isolado da rede e cadeado representando dados criptografados, ilustração conceitual

Ransomware · Grupos

KillSec: o que fazer depois de um ataque do grupo

KillSec é um grupo de ransomware oferecido como serviço, identificado em 2024, que roubava dados com ou sem criptografia e tinha programas para Windows e VMware ESXi. Em 30 de setembro de 2026, uma operação coordenada pela Europol apreendeu o site de vazamento e servidores do grupo. Isso não devolve arquivos nem apaga cópias já vendidas. Chame a equipe de resposta e o jurídico. A Data Rescue avalia discos e backups atingidos, sem promessa de desbloqueio.

Iniciar recuperaçãoPerguntas frequentes

Orçamento por escrito antes de qualquer trabalho. Nada começa sem o seu OK.

O diagnóstico é grátis. Se você quiser um prazo menor, a análise paga tem valor fixo, informado antes de você entregar o dispositivo. A análise comum leva de 02 a 48 horas; depois vêm o laudo e o orçamento, os dois por escrito.

Como cobramos

Ficha rápida

Outros nomes
Kill Security e k1llsec (Group-IB)
Visto desde
2024, como ransomware como serviço (Group-IB)
Modelo
RaaS com afiliados; cada versão do programa precisava de aprovação dos administradores
Sistemas atingidos
Windows; versão para VMware ESXi anunciada em novembro de 2024 (Group-IB)
Entrada relatada
phishing, força bruta em RDP exposto, falhas em aplicações expostas e armazenamento em nuvem mal configurado
Extorsão
roubo e venda de dados; a criptografia não era condição para listar a vítima
Situação
site de vazamento e servidores apreendidos na Operação KillSwitch, anunciada pela Europol em 01/10/2026

O que se sabe com segurança

O KillSec tem menos documentação técnica pública do que grupos maiores. A Group-IB, que apoiou a investigação, o identificou em 2024 como ransomware como serviço: afiliados pagavam para usar a plataforma, e cada versão do programa precisava de aprovação dos administradores. Havia um programa para Windows e, desde novembro de 2024, um para VMware ESXi, que desliga as máquinas virtuais e apaga snapshots e registros.

Muitas vítimas nem tiveram a rede invadida. Segundo a Group-IB e a Resecurity, parte dos dados saiu de armazenamento em nuvem mal configurado e aberto ao público. Em 2025, a Resecurity relatou ataques do grupo a empresas de saúde no Brasil. A extensão e o nome da nota não aparecem nas fontes oficiais consultadas, por isso a identificação deve ficar com a equipe de resposta.

A operação policial de 2026

Em 30 de setembro de 2026, a Operação KillSwitch, conduzida pela polícia de Hamburgo e coordenada pela Europol, apreendeu o site de vazamento e servidores do grupo, com três prisões e oito buscas em quatro países europeus. A Europol liga o grupo a cerca de mil ataques no mundo.

Para quem foi atacado, a operação não devolve arquivos e não assegura que cópias já vendidas tenham sumido. Os comunicados não citam chaves de descriptografia. Vale registrar a ocorrência, guardar provas e acompanhar os avisos das autoridades e do No More Ransom.

Onde a Data Rescue ajuda

Se houve criptografia, especialmente no ESXi, ou se backups e snapshots foram apagados, pode haver o que avaliar nos discos. Não fazemos contenção, perícia nem negociação. Depois que a equipe responsável isolou o ambiente, você relata o caso e combinamos o envio por escrito, antes de qualquer remessa. Veja também os cuidados com discos virtuais no VMware.

Como reconhecer uma ação do KillSec

  • Mensagem ou publicação do grupo dizendo ter dados da empresa, às vezes sem nenhum arquivo criptografado.
  • Arquivos de um bucket ou compartilhamento em nuvem acessados por endereços desconhecidos.
  • No ESXi, máquinas virtuais desligadas, snapshots apagados e registros limpos antes de os discos ficarem ilegíveis.
  • Tentativas repetidas de login em RDP exposto à internet nos dias anteriores.
  • Oferta de venda de dados da empresa que circula em fóruns ou chega por terceiros.

O que não fazer

  • Pagar a quem diz falar pelo grupo depois da operação, sem orientação jurídica e de segurança.
  • Concluir que o problema acabou porque o site de vazamento saiu do ar.
  • Apagar o bucket ou o compartilhamento exposto antes de preservar os registros de acesso.
  • Reinstalar o ESXi ou formatar os discos onde estavam as máquinas virtuais.
  • Rodar programas de desbloqueio sem procedência anunciados como ferramenta do KillSec.

O que fazer agora

01

Confirme o que aconteceu

Com a equipe de resposta, veja se houve invasão da rede, cópia de nuvem mal configurada ou criptografia. Cada cenário pede um caminho diferente.
02

Feche a nuvem exposta

Se os dados saíram de um armazenamento público, a equipe corrige as permissões e guarda os registros de acesso antes de qualquer limpeza.
03

Preserve o ESXi

Se houve criptografia no hipervisor, não recrie datastores nem reinstale o sistema. O que foi apagado ainda pode deixar vestígios nos discos, conforme o que foi gravado depois.
04

Registre a ocorrência

Guarde mensagens e provas e registre boletim de ocorrência. Acompanhe os comunicados da Europol e das autoridades sobre a operação.
05

Comunique com o jurídico

Se a cópia envolveu dados pessoais, o controlador decide com o jurídico sobre a comunicação à ANPD e aos titulares (Resolução CD/ANPD nº 15/2024).
06

Peça a avaliação dos discos

Se há arquivos criptografados ou apagados, descreva o caso à Data Rescue. Antes de qualquer envio, dizemos por escrito se o caso está no nosso escopo.
Perguntas frequentes

Perguntas sobre
KillSec.

Respostas curtas para as dúvidas mais comuns deste tipo de caso.

Com a prisão dos suspeitos, meus arquivos voltam?
Não automaticamente. Os comunicados da operação não mencionam chaves de descriptografia. Se alguma ferramenta for publicada, o lugar a consultar é o No More Ransom, sempre com a equipe de resposta.
O KillSec sempre criptografava os arquivos?
Não. Segundo a Group-IB, a criptografia não era condição para o grupo listar uma vítima, e parte dos dados vinha de nuvem mal configurada. Em muitos casos, o dano é a exposição, não arquivos ilegíveis.
Afiliados podem voltar com outro nome?
É um risco conhecido depois de operações policiais: quem usava a plataforma pode migrar para outro grupo. Por isso a correção da porta de entrada e a troca de credenciais continuam necessárias.
Preciso levar os discos até Belo Horizonte?
Não necessariamente. A sede da Data Rescue fica em Belo Horizonte e o atendimento cobre todo o Brasil: quem está em outra cidade envia o dispositivo. Para servidores e ESXi, primeiro você conta o caso e combinamos o envio por escrito.

Leia também

Fontes

Conteúdo editorial da Data Rescue, atualizado em 29/10/2026. Orientação geral: não substitui a avaliação do dispositivo, a resposta a incidentes nem orientação jurídica. Veja a política editorial.

Antes de tentar sozinho, conte o que aconteceu.

Orçamento por escrito antes de qualquer trabalho. Nada começa sem o seu OK.

Iniciar recuperaçãoEntenda o processo