Threat Actors
The groups behind the attacks — state APTs and ransomware operations. Who they are, where they come from and how they operate. Source: MITRE ATT&CK and ransomware.live.
120 groups
| Group | Category | Origin | Victims in Brazil | MITRE ATT&CK |
|---|---|---|---|---|
| BlackByteaka Hecamede | — | 4 | T1003 · T1012 · T1016 | |
| LAPSUS$aka DEV-0537, SLIPPY SPIDER, Strawberry Tempest | — | 1 | T1003.003 · T1003.006 · T1005 | |
| PlayPlay é um grupo de ransomware ativo desde pelo menos 2022, responsável pela implantação do ransomware Playcrypt contra organizações dos setores empresarial, governamental, de infra | — | 1 | T1003.001 · T1016 · T1018 | |
| Akiraaka GOLD SAHARA, Howling Scorpius, PUNK SPIDER | — | 24 | T1018 · T1021.001 · T1027.001 | |
| arcusmediaArcus Media é uma operação de ransomware-as-a-service que surgiu em maio de 2024, adotando o modelo de dupla extorsão com criptografia ChaCha20 combinada a RSA-2048 e recrutando af | — | 23 | — | |
| incransomO INC Ransom é uma operação de ransomware-as-a-service ativa desde julho de 2023 que atua de forma sistemática contra os setores de saúde, governo, educação e manufatura na América | — | 16 | — | |
| medusaOperação de ransomware-as-a-service ativa desde junho de 2021, a Medusa já impactou mais de 300 vítimas em setores de infraestrutura crítica, incluindo saúde, educação, jurídico e | — | 11 | — | |
| dragonforceDragonForce é uma operação de ransomware como serviço (RaaS) observada pela primeira vez em agosto de 2023, que lançou um programa formal de afiliados oferecendo 80% de participaçã | — | 10 | — | |
| funksecOperação de ransomware-as-a-service com assistência de inteligência artificial, o FunkSec lançou seu site de vazamento de dados em dezembro de 2024 e rapidamente acumulou mais de 8 | — | 10 | — | |
| killsecKillSec surgiu como grupo hacktivista alinhado ao movimento Anonymous antes de migrar para operações de ransomware em outubro de 2023, lançando oficialmente uma plataforma de Ranso | — | 10 | — | |
| direwolfDire Wolf é um grupo de ransomware operado por humanos, documentado pela primeira vez em maio de 2025, cujo malware é desenvolvido em Golang e utiliza criptografia Curve25519/ChaCh | — | 9 | — | |
| nightspireNightSpire é uma operação de ransomware de origem indiana que surgiu em março de 2025 e rapidamente acumulou mais de 250 vítimas nos setores de varejo, manufatura, saúde, finanças | 🇮🇳 Índia | 8 | — | |
| sarcomaSarcoma é uma operação de ransomware que surgiu em outubro de 2024 e rapidamente se posicionou entre os três grupos mais ativos globalmente, acumulando mais de 116 vítimas document | — | 7 | — | |
| spacebearsSpaceBears é uma operação de ransomware de dupla extorsão que surgiu em abril de 2024, notável pela estética "corporativa" adotada em seu site de vazamentos. O grupo opera sobre a | — | 7 | — | |
| darkvaultDarkVault é uma operação de ransomware de dupla extorsão e exfiltração de dados, identificada pela primeira vez no final de 2023. O grupo tem como alvo organizações de médio e gran | — | 6 | — | |
| gunraGunra é uma operação de ransomware com motivação financeira que surgiu em abril de 2025, adotando táticas de dupla extorsão contra os setores imobiliário, farmacêutico e manufature | — | 6 | — | |
| ransomhouseRansomHouse é uma operação de ransomware como serviço (RaaS) com dupla extorsão, ativa desde o final de 2021 e atribuída ao agente de ameaça conhecido como "Jolly Scorpius". A oper | — | 6 | — | |
| aposApos é um grupo de extorsão baseado em corretagem de dados que emergiu em abril de 2024, com atuação focada na exfiltração de informações e na ameaça de publicação ou venda dos dad | — | 4 | — | |
| lynxLynx é uma operação de ransomware como serviço (RaaS) surgida em meados de 2024, resultado da reformulação do INC Ransomware — cujo código-fonte foi vendido por US$ 300.000 no fóru | — | 4 | — | |
| ralordRALord é uma operação de ransomware identificada em março de 2025, que atua dentro da plataforma RaaS NOVA e tem como alvos os setores de saúde, educação, hotelaria e tecnologia da | — | 3 | — | |
| blackwaterBlackwater é uma operação de ransomware que surgiu no início de 2026, combinando criptografia de arquivos com roubo de dados e direcionando ataques a organizações de saúde — tendo | — | 2 | — | |
| bravoxBravoX é uma operação de ransomware-as-a-service que emergiu publicamente em janeiro de 2026 após divulgação no fórum underground RAMP, com foco declarado em organizações dos setor | — | 2 | — | |
| cloakCloak é uma operação de ransomware-as-a-service ativa desde o final de 2022, com foco inicial em pequenas e médias empresas na Europa — especialmente na Alemanha — nos setores de m | — | 2 | — | |
| d4rk4rmyOperação de ransomware e extorsão de dados ativa desde pelo menos 2025, o d4rk4rmy atua sob um modelo de Ransomware-as-a-Service (RaaS), com alvos nos setores de serviços financeir | — | 2 | — | |
| everestEverest é uma operação de ransomware especializada em coletar e analisar informações sensíveis de suas vítimas, incluindo dados de privacidade de clientes, informações financeiras, | — | 2 | — | |
| globalOperação de ransomware como serviço de origem russa, o Global Group surgiu em junho de 2025 com a participação de um agente de ameaça russófono já conhecido no ecossistema criminos | 🇷🇺 Rússia | 2 | — | |
| hiveHive é uma operação de ransomware identificada pela primeira vez em junho de 2021, estruturada no modelo Ransomware-as-a-Service (RaaS) para permitir que agentes menos experientes | — | 2 | — | |
| JJ é uma operação de ransomware emergente que lançou seu site de vazamentos em maio de 2025, acumulando mais de 41 vítimas reivindicadas até o final do mesmo ano, entre elas a FAI A | — | 2 | — | |
| kazuKazu é um grupo de ransomware em ascensão, ativo desde setembro de 2025, que adota táticas de dupla extorsão contra organizações governamentais, de saúde e financeiras, com foco pr | — | 2 | — | |
| meowMeow é uma operação de ransomware que emergiu em 2022, ressurgindo de forma agressiva em 2024, inicialmente operando como RaaS com base no código do Conti v2 antes de migrar para u | — | 2 | — | |
| ransomcortexRansomCortex é uma operação de ransomware de origem brasileira surgida em julho de 2024, com atuação direcionada especificamente ao setor de saúde. O grupo ganhou notoriedade ao re | 🇧🇷 Brasil | 2 | — | |
| blacklockaka BlackLocks, El Dorado, Eldorado | — | 1 | — | |
| crosslockCrossLock é uma operação de ransomware de origem brasileira, desenvolvida em Go, que esteve ativa entre abril e julho de 2023. O grupo utilizava criptografia baseada em Curve25519 | 🇧🇷 Brasil | 1 | — | |
| darksideOperação de ransomware ativa desde agosto de 2020, o DarkSide adotou o modelo de Ransomware-as-a-Service (RaaS) e ficou conhecido por visar grandes organizações com capacidade de p | — | 1 | — | |
| dunghillDunghill Leak é o site de extorsão de dados operado pelo grupo de ransomware Dark Angels, ativo desde o início de 2023 e voltado a grandes empresas dos setores de saúde, finanças, | — | 1 | — | |
| embargoEmbargo é um grupo de ransomware-as-a-service baseado em Rust que emergiu em abril de 2024, tendo como alvos principais organizações norte-americanas dos setores de saúde, manufatu | — | 1 | — | |
| exitiumExitium é uma operação de extorsão de dados observada pela primeira vez no início de 2026, que mantém um site de vazamentos na rede Tor e adota a tática de dupla extorsão — exfiltr | 🇧🇷 Brasil | 1 | — | |
| helldownHelldown é uma operação de ransomware documentada pela primeira vez em agosto de 2024, conhecida por explorar vulnerabilidades em firewalls Zyxel para obter acesso inicial e realiz | — | 1 | — | |
| insomniaInsomnia é um grupo de roubo de dados e extorsão de origem russa que surgiu em outubro de 2025, atuando principalmente contra organizações de saúde nos Estados Unidos. Sua abordage | 🇷🇺 Rússia | 1 | — | |
| madliberatorMadLiberator é um grupo de ransomware que surgiu em meados de 2024, conhecido por comportamento errático, incluindo demandas de resgate aleatórias e padrões de criptografia imprevi | — | 1 | — | |
| noescapeNoEscape foi uma operação de ransomware como serviço (RaaS) ativa entre maio e dezembro de 2023, considerada uma reformulação do grupo Avaddon, encerrado anteriormente. O grupo atu | — | 1 | — | |
| nokoyawaNokoyawa é uma operação de ransomware com modelo de dupla extorsão que lançou um programa de RaaS em 2022, operado pelo agente de ameaça conhecido como "farnetwork". O grupo atuou | — | 1 | — | |
| payloadPayload é uma operação de ransomware surgida no início de 2026 que utiliza código derivado do Babuk para atacar sistemas Windows e ESXi, adotando a tática de dupla extorsão em plat | — | 1 | — | |
| revilO REvil (Ransomware Evil), também conhecido como Sodinokibi, opera sob o modelo de ransomware como serviço (RaaS). Após comprometer suas vítimas, o grupo ameaçava publicar dados se | — | 1 | — | |
| tenguTengu é uma operação de ransomware como serviço (RaaS) observada pela primeira vez em outubro de 2025, que adota o modelo de dupla extorsão e utiliza Living Off The Land Binaries ( | — | 1 | — | |
| termiteTermite é uma operação de ransomware identificada pela primeira vez no final de 2024, que utiliza uma versão modificada do código do ransomware Babuk. Seu ataque de maior repercuss | — | 1 | — | |
| trinityTrinity é uma operação de ransomware identificada pela primeira vez em maio de 2024, considerada um rebrand das variantes Venus/2023Lock, que utiliza criptografia ChaCha20 e aplica | — | 1 | — | |
| ALP-001ALP-001 é uma operação de ransomware com ao menos uma vítima confirmada no Brasil registrada nos dados disponíveis. | — | 1 | — | |
| lockbit5Operação de ransomware ressurgida em setembro de 2025, o LockBit 5.0 — também conhecido como "ChuongDong" — representa o retorno do grupo após a ação de autoridades policiais que d | — | 55 | — | |
| thegentlemenTheGentlemen é uma operação de ransomware como serviço (RaaS) que emergiu entre julho e agosto de 2025, acumulando rapidamente mais de 320 vítimas em 17 ou mais países ao oferecer | — | 42 | — | |
| lockbit3LockBit, também conhecido como LockBit Black ou LockBit 3.0, é uma das maiores operações de ransomware do mundo, responsável por ataques cibernéticos extensivos em diversos setores | — | 39 | — | |
| ransomhubRansomHub é uma operação de ransomware como serviço (RaaS) de origem russa, cujo programa de afiliados foi anunciado em 2 de fevereiro de 2024 pelo usuário de apelido "koley" no fó | 🇷🇺 Rússia | 35 | — | |
| 8baseO grupo 8base surgiu em março de 2022 e, após um período de baixa atividade, registrou um aumento expressivo de operações entre maio e junho de 2023, quando listou 131 organizações | — | 20 | — | |
| babuk2Babuk2, também conhecido como Bjorka ou SkyWave, é uma operação de ransomware que, após não obter lucro com a venda de bases de dados públicas em fóruns, passou a se passar pelo gr | — | 15 | — | |
| qilinQilin é uma operação de ransomware observada pela primeira vez em julho de 2022, desenvolvida em Golang e que suporta múltiplos modos de criptografia, todos controlados pelo operad | — | 15 | — | |
| novaNova, anteriormente conhecida como RALord, é uma operação de ransomware-as-a-service (RaaS) que cifra os arquivos das vítimas e adota táticas de dupla extorsão para pressionar orga | — | 12 | — | |
| alphvALPHV, também conhecido como BlackCat, é uma operação de ransomware cujos operadores iniciaram suas atividades em dezembro de 2021, divulgando seu programa de afiliados em fóruns d | — | 11 | — | |
| apt73aka Eraleig | — | 9 | — | |
| Emperador | — | 9 | — | |
| krybitKrybit é uma operação de ransomware como serviço (RaaS) surgida no final de março de 2026, que oferece a afiliados uma divisão de receita de 80/20 com suporte a criptografia em amb | — | 8 | — | |
| lockbit2LockBit 2.0 é a segunda versão principal da plataforma de ransomware-as-a-service LockBit, lançada em meados de 2021, que introduziu criptografia automatizada em todo o domínio por | — | 8 | — | |
| worldleaksWorldLeaks surgiu em janeiro de 2025 como uma reformulação da operação de ransomware Hunters International, alterando sua abordagem para focar exclusivamente no roubo de dados sens | — | 8 | — | |
| coinbasecartelCoinbaseCartel é uma operação de ransomware especializada em aquisição de dados por meio de acesso a sistemas e parcerias estratégicas, com foco exclusivo em exfiltração de informa | — | 7 | — | |
| N0n | — | 7 | — | |
| qiulongQiulong é uma operação de ransomware de origem brasileira que surgiu por volta de abril de 2024, atuando principalmente contra organizações no Brasil. O grupo adota dupla extorsão | 🇧🇷 Brasil | 7 | — | |
| stormousOperação de ransomware de origem russa e orientação pró-Rússia, o Stormous é um grupo árabe-falante com atuação hacktivista e criminosa ativa desde pelo menos 2022, conduzindo ataq | 🇷🇺 Rússia | 7 | — | |
| devmanOperação de ransomware com histórico de atuação como afiliado dos grupos RansomHub e INC Ransom. O grupo possui seis vítimas conhecidas no Brasil, o que indica presença relevante n | — | 6 | — | |
| fogFog é uma operação de ransomware identificada pela extensão `.flocked` aplicada aos arquivos cifrados, observada pela primeira vez em campanhas conduzidas pelo ator de ameaça Storm | — | 6 | — | |
| knightKnight é uma operação de ransomware que representa o rebranding do grupo Cyclops. Foram identificadas 6 vítimas conhecidas no Brasil associadas a essa operação. | — | 6 | — | |
| Section9🚨 This is a fake group with fake victims. | — | 6 | — | |
| beastBeast é uma operação de ransomware operada no modelo Ransomware-as-a-Service (RaaS) que oferece recursos como varredura SMB, criptografia de arquivos, inicialização e interrupção d | — | 5 | — | |
| medusalockerOperação de ransomware rastreada sob o nome MedusaLocker, com duas vítimas confirmadas no Brasil. A infraestrutura da ameaça é baseada em um bot escrito em .NET 2.0, utilizando HTT | — | 5 | — | |
| rhysidaRhysida é uma operação de ransomware-as-a-service (RaaS) que surgiu em maio de 2023, utilizando ataques de phishing e o Cobalt Strike para comprometer redes e implantar suas cargas | — | 5 | — | |
| vectVECT é uma operação de ransomware como serviço (RaaS) que lançou seu programa de afiliados em dezembro de 2025, estruturado em cinco níveis de compartilhamento de receita e com par | — | 5 | — | |
| BrainCipherBrainCipher é uma operação de ransomware surgida em julho de 2024, que opera com variantes para Windows e Linux construídas sobre o vazamento do LockBit Black. O grupo é suspeito d | — | 4 | — | |
| Global Secret Group | — | 4 | — | |
| huntersOperação de ransomware surgida em meados de outubro de 2023, o grupo Hunters International afirma ter adquirido o código-fonte do Ransomware Hive — incluindo seu site e versões ant | — | 4 | — | |
| royalRoyal é uma operação de ransomware observada pela primeira vez em setembro de 2022, cujos agentes de ameaça são considerados cibercriminosos experientes com histórico no grupo Cont | — | 4 | — | |
| Vexy Ransomware | — | 4 | — | |
| cicada3301Cicada3301 é uma operação de ransomware-as-a-service — rastreada como Repellent Scorpius pela Palo Alto — que surgiu em meados de 2024 com um ransomware desenvolvido em Rust, capaz | — | 3 | — | |
| clopO Cl0p é uma operação de ransomware derivada de uma cepa anteriormente conhecida como CryptoMix, com motivação exclusivamente financeira. O grupo foi identificado em 2019 como payl | — | 3 | — | |
| DeadlockDeadlock é uma operação de ransomware cujas atividades são monitoradas no contexto de ameaças a organizações. O grupo emprega táticas típicas de ransomware moderno, com foco na ext | — | 3 | — | |
| ransomedOperação de ransomware ativa entre agosto e novembro de 2023, o RansomedVC atuou brevemente como RaaS e ficou conhecido por reivindicar vítimas de alto perfil, como a Sony, introdu | — | 3 | — | |
| settraSettra é uma operação de ransomware cujos detalhes de origem, afiliações e alcance de vítimas permanecem limitados nas informações disponíveis publicamente. --- *Nota interna: os | — | 3 | — | |
| threeamFamília de ransomware identificada em setembro de 2023, o ThreeAM (também grafado "3AM") foi observado pela equipe da Symantec quando um afiliado tentou implantar o LockBit em uma | — | 3 | — | |
| wannacryOperação de ransomware que se propaga explorando vulnerabilidades no sistema operacional Windows, o WannaCry tornou-se uma ameaça global em seu auge em maio de 2017. Os agentes por | — | 3 | — | |
| alphalockerAlphaLocker é uma operação de ransomware de baixo custo construída sobre o projeto de código aberto EDA2, que comercializa para afiliados um painel administrativo, um executável de | — | 2 | — | |
| atomsiloAtomSilo é uma operação de ransomware de dupla extorsão surgida em setembro de 2021, atribuída ao agente de ameaça de origem chinesa BRONZE STARLIGHT. O grupo ficou conhecido pela | 🇨🇳 China | 2 | — | |
| blackbastaBlack Basta é uma operação de ransomware identificada em abril de 2022, com indícios de desenvolvimento desde pelo menos o início de fevereiro do mesmo ano. Pela velocidade com que | — | 2 | — | |
| DoommageddonDirect Extortion Double Extortion | — | 2 | — | |
| Eclipse | — | 2 | — | |
| ElDoradoaka BlackLocks, GLOBAL GROUP, Mamona | — | 2 | — | |
| L Group | — | 2 | — | |
| m3rxOperação de ransomware observada pela primeira vez em 2025, o M3rx é um grupo de pequeno porte que utiliza criptografia AES-CTR/AES-GCM em seus ataques. O grupo tem como alvos orga | — | 2 | — | |
| Panzer | — | 2 | — | |
| ransomexxRansomExx é uma família de ransomware que passou a ter como alvo múltiplas empresas a partir de meados de 2020, apresentando características em comum com o ransomware Defray777. A | — | 2 | — | |
| unsafeOperação de ransomware conhecida pelo aparente reaproveitamento de vazamentos originados de outros grupos de ransomware. | — | 2 | — | |
| 0day SyndicateOperação de ransomware com ao menos uma vítima confirmada no Brasil, o 0day Syndicate integra o cenário de grupos cibercriminosos voltados à extorsão mediante cifragem de dados. Su | — | 1 | — | |
| Barracuda | — | 1 | — | |
| BlackfieldBlackfield é uma operação de ransomware cujos detalhes de origem, afiliações e campanhas documentadas permanecem limitados nos registros públicos disponíveis. O grupo opera no mode | — | 1 | — | |
| blacksuitBlackSuit é uma operação de ransomware que apresenta sobreposição significativa de código com o Royal Ransomware, conforme análise da Trend Micro. O grupo possui uma vítima confirm | — | 1 | — | |
| Booba ProjectBooba | — | 1 | — | |
| cactusOperação de ransomware identificada por volta de março de 2023, o CACTUS ficou conhecido por explorar vulnerabilidades para obter acesso inicial e manter persistência na infraestru | — | 1 | — | |
| ciphbitCiphBit é uma operação de ransomware-as-a-service ativa desde abril de 2023, com foco em pequenas e médias empresas no Reino Unido, Europa e América do Norte, acumulando 38 vítimas | — | 1 | — | |
| Dark ProjectDark Project is a newly emerged ransomware leak operation active as of August 2026. The group utilizes a double extortion model (stealing sensitive data before encrypting local sys | — | 1 | — | |
| HYFLOCK | — | 1 | — | |
| lvO LV é uma operação de ransomware cujo discurso público responsabiliza as vítimas por supostamente negligenciar a proteção de dados de clientes e funcionários. Pesquisadores de seg | — | 1 | — | |
| malloxMallox é uma operação de ransomware cuja atividade remonta a meados de junho de 2021. O grupo emprega uma combinação de algoritmos criptográficos — ChaCha20, AES-128 e Curve25519 — | — | 1 | — | |
| mazeMaze é uma operação de ransomware conhecida por ter sido uma das pioneiras no modelo de "dupla extorsão", no qual, além de cifrar os dados das vítimas, o grupo ameaçava publicar as | — | 1 | — | |
| nonameNoName, também conhecido como CosmicBeetle, é um grupo de ransomware ativo desde pelo menos 2020, com foco em pequenas e médias empresas ao redor do mundo. O grupo utiliza uma ferr | — | 1 | — | |
| onyxOnyx é uma operação de ransomware observada pela primeira vez em abril de 2022, construída sobre o builder do Chaos ransomware. O grupo se distingue por um comportamento destrutivo | — | 1 | — | |
| OrovaFirst seen 2026-07-07 | — | 1 | — | |
| raworldIdentificado pela primeira vez em abril de 2023, o RA World é uma operação de ransomware que emprega uma variante customizada do código do Babuk. O grupo possui uma vítima confirma | — | 1 | — | |
| rebornvcRebornVC é um rebranding do RansomedVC, ressurgindo em julho de 2025 sob nova liderança. A operação, de origem brasileira, adota leilões de dados, extorsão direta e dupla extorsão | 🇧🇷 Brasil | 1 | — | |
| sinobiSinobi é uma operação de ransomware do modelo RaaS com afiliados selecionados, surgida em meados de 2025 e considerada um rebranding da linhagem Lynx/INC. O grupo opera por meio de | — | 1 | — | |
| THE SEVEN DEADLY SINS | — | 1 | — | |
| toufanToufan é um grupo de ransomware de orientação pró-palestina. A operação possui uma vítima confirmada no Brasil registrada na base de dados. | — | 1 | — | |
| trigonaTrigona é uma operação de ransomware que cifra arquivos das vítimas e acrescenta a extensão `._locked` aos nomes dos arquivos comprometidos. Durante a infecção, deposita o arquivo | — | 1 | — | |
| UmBra | — | 1 | — | |
| ZaWooaka ZaWoo Team | — | 1 | — |