Um relatório divulgado em 6 de novembro de 2026 mapeou o Dark Project, operação de ransomware com motivação financeira observada desde junho de 2026, que já lista 38 organizações como vítimas em 8 países. O que distingue o grupo não é a técnica, é o modelo de remuneração: ele paga 80% do lucro de cada ataque ao afiliado que fez a invasão.
A divisão é o centro da operação. Os 20% restantes ficam com os operadores, como contrapartida pela plataforma e pelos relatórios que ela gera. O grupo promete liquidar a comissão em até 24 horas, em bitcoin. O relatório não apresenta carteiras nem registros que comprovem os pagamentos.
O acesso inicial não depende de nenhuma falha nova. São quatro caminhos: phishing, serviços de RDP expostos na internet, credenciais comprometidas e acesso de VPN obtido em logs de infostealer ou comprado de corretores de acesso. Dentro da rede, a operação usa contas válidas, WMI, RDP e SMB para executar código e se mover entre máquinas Windows.
O impacto obedece ao roteiro da dupla extorsão. Os dados são exfiltrados antes da criptografia, os arquivos são cifrados e a operação tenta inibir a recuperação. Quando a negociação falha, o conteúdo vai para o site de vazamento na rede Tor. A terceirização é o que muda a escala: quem mantém a plataforma não invade, e quem invade não mantém infraestrutura.
Das 38 organizações listadas, 30 estão nos Estados Unidos. Por setor, a manufatura responde por 12, a saúde por 7 e a construção por 4. A distribuição por mês mostra aceleração concentrada: 4 listagens em junho, nenhuma em julho, 20 em agosto, 5 em setembro, 5 em outubro e 4 em novembro até a coleta. Agosto sozinho reúne mais da metade do total.
O recrutamento acontece por contato na rede Tox e passa por candidatura, triagem e integração. Aprovado, o parceiro recebe um identificador próprio, acesso ao painel na Tor e instruções de operação. O relatório descreve agentes em formato EXE e BIN que carregariam esse identificador, mas não nomeia família de malware nem liga alguma vulnerabilidade conhecida à porta de entrada do grupo.
A recomendação do relatório é aplicar correções, reforçar o controle de acesso, monitorar atividade suspeita e manter backups protegidos. Como os caminhos de entrada passam por acesso remoto e por credencial, a prioridade prática é retirar o RDP da internet, exigir segundo fator na VPN e trocar credencial que apareça em log de infostealer. Backup isolado e com restauração testada responde à tentativa de inibir a recuperação. As 38 vítimas são o que o grupo reivindica no próprio site de vazamento, não um total verificado.
