Do Cronos à versão 5.0
Em fevereiro de 2024, a operação Cronos, conduzida pela NCA britânica com o FBI e apoio da Europol e da Eurojust, tomou a infraestrutura do LockBit. Houve prisões e a publicação de ferramentas de descriptografia no No More Ransom, feitas com chaves apreendidas. O grupo, porém, voltou. Em setembro de 2025 anunciou o LockBit 5.0 em fóruns criminosos, e a Check Point identificou vítimas já naquele mês.
A Trend Micro analisou a nova versão em setembro de 2025 e concluiu que ela evolui do código da 4.0, com variantes para Windows, Linux e ESXi. A versão para ESXi foi feita para atingir toda a infraestrutura virtual de uma vez. O programa dificulta a análise, apaga registros de eventos ao terminar e, no Windows, tem opção de sobrescrever o espaço livre do disco.
O que isso muda na avaliação
A extensão aleatória atrapalha quem tenta identificar a família só pelo nome do arquivo. Por isso a nota e algumas amostras são tão importantes para a equipe de resposta. A sobrescrita do espaço livre, quando usada, reduz a chance de achar no disco versões apagadas de antes do ataque.
Ainda assim, cada caso tem sua história. Backups offline, snapshots de storage que não foram apagados e cópias em outro local podem ter escapado. Em hipervisores, os discos virtuais VHDX e VMDK precisam ser examinados um a um antes de qualquer conclusão.
As ferramentas de 2024 servem?
As ferramentas divulgadas em 2024 foram desenvolvidas pela polícia japonesa, pela NCA e pelo FBI para arquivos do LockBit daquela época. Não há indicação pública de que funcionem com a 5.0. A equipe de resposta pode consultar o No More Ransom para confirmar a variante antes de testar qualquer coisa.
Nosso trabalho começa depois da contenção, que fica com a equipe de resposta; não fazemos perícia nem negociação. Com o ambiente isolado, você descreve o caso e a Data Rescue combina o envio por escrito, antes de qualquer remessa. O diagnóstico grátis, de 02 a 48 horas, mostra quais arquivos e discos têm algo aproveitável.