Pular para o conteúdo
Data Rescue
Notebook isolado da rede e cadeado representando dados criptografados, ilustração conceitual

Ransomware · Grupos

Ransomware Play: como agir quando os arquivos viram .PLAY

Play, também chamado Playcrypt, é um grupo de ransomware ativo desde junho de 2022 que a CISA considera provavelmente fechado, sem afiliados. Ele acrescenta .PLAY aos arquivos e deixa a nota ReadMe.txt, sem valor de resgate, pedindo contato por e-mail. Criptografa trechos alternados dos arquivos, inclusive no VMware ESXi. Isole o ambiente com a equipe de resposta e preserve os backups. A Data Rescue avalia discos, datastores e backups, sem promessa de desbloqueio.

Iniciar recuperaçãoPerguntas frequentes

Orçamento por escrito antes de qualquer trabalho. Nada começa sem o seu OK.

O diagnóstico é grátis. Se você quiser um prazo menor, a análise paga tem valor fixo, informado antes de você entregar o dispositivo. A análise comum leva de 02 a 48 horas; depois vêm o laudo e o orçamento, os dois por escrito.

Como cobramos

Ficha rápida

Outros nomes
Playcrypt (CISA)
Visto desde
junho de 2022; cerca de 900 vítimas até maio de 2025, segundo o FBI
Modelo
presumido grupo fechado, sem afiliados (alerta atualizado em 04/06/2025)
Sistemas atingidos
Windows e versão própria para VMware ESXi
Entrada relatada
contas válidas; FortiOS (CVE-2018-13379, CVE-2020-12812); Exchange ProxyNotShell (CVE-2022-41040, CVE-2022-41082); SimpleHelp (CVE-2024-57727); RDP e VPN expostos
Extorsão
dupla, com telefonemas ameaçando publicar os dados roubados
Sinais públicos
extensão .PLAY; nota ReadMe.txt em C:/Users/Public/Music no Windows; PLAY_Readme.txt no ESXi

O que a CISA descreve sobre o Play

O alerta AA23-352A, da CISA, do FBI e do centro australiano de segurança cibernética, foi publicado em dezembro de 2023 e atualizado em 4 de junho de 2025. Ele estima cerca de 900 vítimas até maio de 2025 e descreve o Play como um grupo provavelmente fechado. A entrada costuma ser por contas válidas e por falhas conhecidas em FortiOS, Microsoft Exchange e na ferramenta de acesso remoto SimpleHelp, além de RDP e VPN expostos.

Uma diferença prática: a nota não traz valor nem instruções de pagamento. Ela pede que a vítima escreva para um endereço de e-mail. O grupo também telefona para a empresa e ameaça publicar os dados copiados.

Criptografia intermitente e o que ela pode preservar

Segundo a CISA, a versão para Windows combina AES e RSA e usa criptografia intermitente: cifra um trecho de cerca de 1 MB, pula o seguinte, e assim por diante, sem tocar nos arquivos de sistema. A versão para ESXi usa AES-256 e deixa a nota PLAY_Readme.txt na raiz e na pasta dos volumes de dados.

Em arquivos grandes, como discos virtuais VMDK, bancos e bases do Exchange, os trechos não cifrados podem conter dados legíveis. Aproveitá-los exige reconstruir a estrutura do arquivo, e o resultado depende de cada formato. É possibilidade a avaliar, nunca certeza.

Como a Data Rescue avalia

Resposta a incidentes, perícia e negociação são de outras equipes; a Data Rescue cuida da avaliação dos dados. Com o ambiente isolado pela equipe responsável, você conta o caso e combinamos o envio por escrito, antes de qualquer remessa. Avaliamos discos de servidores, datastores e repositórios de backup, à procura de trechos íntegros e de cópias anteriores ao ataque. O prazo do diagnóstico vai de 02 a 48 horas.

Como reconhecer o Play

  • Arquivos com .PLAY no final do nome, exceto os de sistema, que o programa costuma pular.
  • Nota ReadMe.txt na pasta C:/Users/Public/Music, sem valor de resgate, só com um e-mail de contato.
  • No ESXi, nota PLAY_Readme.txt na raiz e junto dos volumes de dados.
  • Ligações de alguém ameaçando publicar dados da empresa.
  • Acessos incomuns ao Exchange, ao firewall Fortinet ou ao SimpleHelp antes do ataque.

O que não fazer

  • Pagar sem orientação jurídica e de segurança: a CISA lembra que o pagamento não garante a volta dos arquivos.
  • Enviar amostras de dados ao grupo para provar que é a empresa atingida.
  • Rodar reparo de banco de dados ou de caixas de e-mail nos arquivos .PLAY.
  • Religar backups ao mesmo ambiente antes de a equipe confirmar que está limpo.
  • Reinstalar o ESXi ou formatar datastores com discos virtuais criptografados.

O que fazer agora

01

Isole o ambiente

Com a equipe de resposta, desconecte servidores e hipervisores afetados e suspenda os acessos remotos.
02

Não responda sozinho

Encaminhe e-mails e ligações do grupo ao jurídico e à equipe de resposta. Não envie dados nem prometa pagamento.
03

Corrija as entradas conhecidas

A equipe revisa FortiOS, Exchange, SimpleHelp, RDP e VPN, aplica correções e troca senhas antes de religar.
04

Preserve nota e amostras

Mantenha a ReadMe.txt e alguns arquivos .PLAY intactos, sem renomear. Eles identificam a família e permitem consultar ferramentas públicas.
05

Trate os dados pessoais

Como houve cópia de dados, o controlador verifica com o jurídico o dever de comunicar a ANPD e os titulares, segundo a Resolução CD/ANPD nº 15/2024.
06

Priorize os arquivos grandes

Liste discos virtuais, bancos e backups atingidos e conte o caso à Data Rescue, que combina o envio por escrito.
Perguntas frequentes

Perguntas sobre
Play.

Respostas curtas para as dúvidas mais comuns deste tipo de caso.

Por que a nota do Play não diz quanto pagar?
É o modo de operar descrito pela CISA: a nota só traz um e-mail, e o valor aparece na conversa. Qualquer contato deve passar pelo jurídico e pela equipe de resposta, nunca por um funcionário sozinho.
A criptografia intermitente deixa partes do arquivo intactas?
A CISA descreve a cifra de trechos alternados de cerca de 1 MB. Isso não quer dizer que o arquivo abra: cabeçalhos e índices podem ter sido atingidos. Em arquivos grandes, a análise pode extrair partes legíveis.
Existe descriptografador público para o Play?
O alerta da CISA não cita ferramenta, e não encontramos descriptografador público reconhecido até outubro de 2026. A equipe de resposta pode conferir o No More Ransom.
Restaurar o backup resolve o ataque do Play?
Recupera o funcionamento, não a exposição: os dados foram copiados antes. E restaurar num ambiente ainda comprometido pode levar a um novo ataque. A equipe de resposta precisa fechar as entradas antes.

Leia também

Fontes

Conteúdo editorial da Data Rescue, atualizado em 29/10/2026. Orientação geral: não substitui a avaliação do dispositivo, a resposta a incidentes nem orientação jurídica. Veja a política editorial.

Antes de tentar sozinho, conte o que aconteceu.

Orçamento por escrito antes de qualquer trabalho. Nada começa sem o seu OK.

Iniciar recuperaçãoEntenda o processo