Grupos de ransomware estão priorizando a desativação de ferramentas de segurança, sistemas de backup e mecanismos de telemetria do Windows antes de iniciar a criptografia. O objetivo é reduzir a capacidade das empresas de detectar, conter e recuperar-se do ataque.
Uma análise das dez famílias com menores taxas de prevenção em 2026 mostrou que Play teve o pior resultado, com apenas 13% dos ataques bloqueados. BlackByte apareceu com 25%, seguido pelo LockBit, com 30%.
Entre as técnicas mais frequentes está a interrupção ou modificação de ferramentas defensivas. O BabLock, por exemplo, utiliza um desinstalador legítimo para remover proteção de endpoint e encerra processos de antivírus, EDR, backup e bancos de dados.
Depois disso, o ransomware pode apagar os logs Security e System do Windows, eliminando registros importantes para equipes de resposta a incidentes e dificultando a reconstrução das ações realizadas pelos invasores.
O LockBit 5.0 adota uma abordagem diferente ao interferir no Event Tracing for Windows, mecanismo usado por diversas soluções para coletar eventos. A alteração impede que determinadas informações sejam registradas e reduz a visibilidade das ferramentas de monitoramento.
Outras famílias recorrem à injeção de processos, execução de código diretamente na memória, alteração do Registro, disfarce de arquivos e uso de programas legítimos do próprio Windows para esconder suas atividades.
