Atores de Ameaça
Grupos por trás dos ataques — APTs estatais e operações de ransomware. Quem são, de onde vêm e como operam. Fonte: MITRE ATT&CK e ransomware.live.
414 grupos
| Grupo | Categoria | Origem | Vítimas no Brasil | MITRE ATT&CK |
|---|---|---|---|---|
| BlackByteaka Hecamede | — | 4 | T1003 · T1012 · T1016 | |
| LAPSUS$aka DEV-0537, SLIPPY SPIDER, Strawberry Tempest | — | 1 | T1003.003 · T1003.006 · T1005 | |
| PlayPlay é um grupo de ransomware ativo desde pelo menos 2022, responsável pela implantação do ransomware Playcrypt contra organizações dos setores empresarial, governamental, de infra | — | 1 | T1003.001 · T1016 · T1018 | |
| ShinyHuntersaka Bling Libra, UNC6240 | — | — | T1016 · T1018 · T1036.005 | |
| Akiraaka GOLD SAHARA, Howling Scorpius, PUNK SPIDER | — | 24 | T1018 · T1021.001 · T1027.001 | |
| arcusmediaArcus Media é uma operação de ransomware-as-a-service que surgiu em maio de 2024, adotando o modelo de dupla extorsão com criptografia ChaCha20 combinada a RSA-2048 e recrutando af | — | 23 | — | |
| incransomO INC Ransom é uma operação de ransomware-as-a-service ativa desde julho de 2023 que atua de forma sistemática contra os setores de saúde, governo, educação e manufatura na América | — | 16 | — | |
| medusaOperação de ransomware-as-a-service ativa desde junho de 2021, a Medusa já impactou mais de 300 vítimas em setores de infraestrutura crítica, incluindo saúde, educação, jurídico e | — | 11 | — | |
| dragonforceDragonForce é uma operação de ransomware como serviço (RaaS) observada pela primeira vez em agosto de 2023, que lançou um programa formal de afiliados oferecendo 80% de participaçã | — | 10 | — | |
| funksecOperação de ransomware-as-a-service com assistência de inteligência artificial, o FunkSec lançou seu site de vazamento de dados em dezembro de 2024 e rapidamente acumulou mais de 8 | — | 10 | — | |
| killsecKillSec surgiu como grupo hacktivista alinhado ao movimento Anonymous antes de migrar para operações de ransomware em outubro de 2023, lançando oficialmente uma plataforma de Ranso | — | 10 | — | |
| direwolfDire Wolf é um grupo de ransomware operado por humanos, documentado pela primeira vez em maio de 2025, cujo malware é desenvolvido em Golang e utiliza criptografia Curve25519/ChaCh | — | 9 | — | |
| nightspireNightSpire é uma operação de ransomware de origem indiana que surgiu em março de 2025 e rapidamente acumulou mais de 250 vítimas nos setores de varejo, manufatura, saúde, finanças | 🇮🇳 Índia | 8 | — | |
| sarcomaSarcoma é uma operação de ransomware que surgiu em outubro de 2024 e rapidamente se posicionou entre os três grupos mais ativos globalmente, acumulando mais de 116 vítimas document | — | 7 | — | |
| spacebearsSpaceBears é uma operação de ransomware de dupla extorsão que surgiu em abril de 2024, notável pela estética "corporativa" adotada em seu site de vazamentos. O grupo opera sobre a | — | 7 | — | |
| darkvaultDarkVault é uma operação de ransomware de dupla extorsão e exfiltração de dados, identificada pela primeira vez no final de 2023. O grupo tem como alvo organizações de médio e gran | — | 6 | — | |
| gunraGunra é uma operação de ransomware com motivação financeira que surgiu em abril de 2025, adotando táticas de dupla extorsão contra os setores imobiliário, farmacêutico e manufature | — | 6 | — | |
| ransomhouseRansomHouse é uma operação de ransomware como serviço (RaaS) com dupla extorsão, ativa desde o final de 2021 e atribuída ao agente de ameaça conhecido como "Jolly Scorpius". A oper | — | 6 | — | |
| aposApos é um grupo de extorsão baseado em corretagem de dados que emergiu em abril de 2024, com atuação focada na exfiltração de informações e na ameaça de publicação ou venda dos dad | — | 4 | — | |
| lynxLynx é uma operação de ransomware como serviço (RaaS) surgida em meados de 2024, resultado da reformulação do INC Ransomware — cujo código-fonte foi vendido por US$ 300.000 no fóru | — | 4 | — | |
| ralordRALord é uma operação de ransomware identificada em março de 2025, que atua dentro da plataforma RaaS NOVA e tem como alvos os setores de saúde, educação, hotelaria e tecnologia da | — | 3 | — | |
| blackwaterBlackwater é uma operação de ransomware que surgiu no início de 2026, combinando criptografia de arquivos com roubo de dados e direcionando ataques a organizações de saúde — tendo | — | 2 | — | |
| bravoxBravoX é uma operação de ransomware-as-a-service que emergiu publicamente em janeiro de 2026 após divulgação no fórum underground RAMP, com foco declarado em organizações dos setor | — | 2 | — | |
| cloakCloak é uma operação de ransomware-as-a-service ativa desde o final de 2022, com foco inicial em pequenas e médias empresas na Europa — especialmente na Alemanha — nos setores de m | — | 2 | — | |
| d4rk4rmyOperação de ransomware e extorsão de dados ativa desde pelo menos 2025, o d4rk4rmy atua sob um modelo de Ransomware-as-a-Service (RaaS), com alvos nos setores de serviços financeir | — | 2 | — | |
| everestEverest é uma operação de ransomware especializada em coletar e analisar informações sensíveis de suas vítimas, incluindo dados de privacidade de clientes, informações financeiras, | — | 2 | — | |
| globalOperação de ransomware como serviço de origem russa, o Global Group surgiu em junho de 2025 com a participação de um agente de ameaça russófono já conhecido no ecossistema criminos | 🇷🇺 Rússia | 2 | — | |
| hiveHive é uma operação de ransomware identificada pela primeira vez em junho de 2021, estruturada no modelo Ransomware-as-a-Service (RaaS) para permitir que agentes menos experientes | — | 2 | — | |
| JJ é uma operação de ransomware emergente que lançou seu site de vazamentos em maio de 2025, acumulando mais de 41 vítimas reivindicadas até o final do mesmo ano, entre elas a FAI A | — | 2 | — | |
| kazuKazu é um grupo de ransomware em ascensão, ativo desde setembro de 2025, que adota táticas de dupla extorsão contra organizações governamentais, de saúde e financeiras, com foco pr | — | 2 | — | |
| meowMeow é uma operação de ransomware que emergiu em 2022, ressurgindo de forma agressiva em 2024, inicialmente operando como RaaS com base no código do Conti v2 antes de migrar para u | — | 2 | — | |
| ransomcortexRansomCortex é uma operação de ransomware de origem brasileira surgida em julho de 2024, com atuação direcionada especificamente ao setor de saúde. O grupo ganhou notoriedade ao re | 🇧🇷 Brasil | 2 | — | |
| blacklockaka BlackLocks, El Dorado, Eldorado | — | 1 | — | |
| crosslockCrossLock é uma operação de ransomware de origem brasileira, desenvolvida em Go, que esteve ativa entre abril e julho de 2023. O grupo utilizava criptografia baseada em Curve25519 | 🇧🇷 Brasil | 1 | — | |
| darksideOperação de ransomware ativa desde agosto de 2020, o DarkSide adotou o modelo de Ransomware-as-a-Service (RaaS) e ficou conhecido por visar grandes organizações com capacidade de p | — | 1 | — | |
| dunghillDunghill Leak é o site de extorsão de dados operado pelo grupo de ransomware Dark Angels, ativo desde o início de 2023 e voltado a grandes empresas dos setores de saúde, finanças, | — | 1 | — | |
| embargoEmbargo é um grupo de ransomware-as-a-service baseado em Rust que emergiu em abril de 2024, tendo como alvos principais organizações norte-americanas dos setores de saúde, manufatu | — | 1 | — | |
| exitiumExitium é uma operação de extorsão de dados observada pela primeira vez no início de 2026, que mantém um site de vazamentos na rede Tor e adota a tática de dupla extorsão — exfiltr | 🇧🇷 Brasil | 1 | — | |
| helldownHelldown é uma operação de ransomware documentada pela primeira vez em agosto de 2024, conhecida por explorar vulnerabilidades em firewalls Zyxel para obter acesso inicial e realiz | — | 1 | — | |
| insomniaInsomnia é um grupo de roubo de dados e extorsão de origem russa que surgiu em outubro de 2025, atuando principalmente contra organizações de saúde nos Estados Unidos. Sua abordage | 🇷🇺 Rússia | 1 | — | |
| madliberatorMadLiberator é um grupo de ransomware que surgiu em meados de 2024, conhecido por comportamento errático, incluindo demandas de resgate aleatórias e padrões de criptografia imprevi | — | 1 | — | |
| noescapeNoEscape foi uma operação de ransomware como serviço (RaaS) ativa entre maio e dezembro de 2023, considerada uma reformulação do grupo Avaddon, encerrado anteriormente. O grupo atu | — | 1 | — | |
| nokoyawaNokoyawa é uma operação de ransomware com modelo de dupla extorsão que lançou um programa de RaaS em 2022, operado pelo agente de ameaça conhecido como "farnetwork". O grupo atuou | — | 1 | — | |
| payloadPayload é uma operação de ransomware surgida no início de 2026 que utiliza código derivado do Babuk para atacar sistemas Windows e ESXi, adotando a tática de dupla extorsão em plat | — | 1 | — | |
| revilO REvil (Ransomware Evil), também conhecido como Sodinokibi, opera sob o modelo de ransomware como serviço (RaaS). Após comprometer suas vítimas, o grupo ameaçava publicar dados se | — | 1 | — | |
| tenguTengu é uma operação de ransomware como serviço (RaaS) observada pela primeira vez em outubro de 2025, que adota o modelo de dupla extorsão e utiliza Living Off The Land Binaries ( | — | 1 | — | |
| termiteTermite é uma operação de ransomware identificada pela primeira vez no final de 2024, que utiliza uma versão modificada do código do ransomware Babuk. Seu ataque de maior repercuss | — | 1 | — | |
| trinityTrinity é uma operação de ransomware identificada pela primeira vez em maio de 2024, considerada um rebrand das variantes Venus/2023Lock, que utiliza criptografia ChaCha20 e aplica | — | 1 | — | |
| Abrahams_AxAbraham's Ax é uma persona hacktivista de origem iraniana vinculada ao grupo Moses Staff, surgida em novembro de 2022. Suas operações têm como alvo principal instituições govername | 🇮🇷 Irã | — | — | |
| abyssAbyss, também conhecido como Abyss Locker, é uma operação de ransomware identificada pela primeira vez em março de 2023, derivada do código-fonte do Babuk, que tem como alvo sistem | — | — | — | |
| againstthewestaka APT49 | — | — | — | |
| anubisAnubis é um grupo de ransomware-as-a-service ativo desde dezembro de 2024 que tem como alvo os setores de saúde, engenharia, construção e serviços profissionais. O grupo oferece a | — | — | — | |
| argonautsArgonauts é um grupo de ransomware surgido em setembro de 2024, que opera sob o modelo de dupla extorsão — combinando cifragem de dados com ameaça de vazamento público. O grupo tem | — | — | — | |
| arkanaArkana é uma operação de ransomware que emergiu no início de 2025 e ganhou notoriedade ao reivindicar um ataque contra a provedora norte-americana de banda larga WideOpenWest (WOW! | — | — | — | |
| arvinclubArvin Club é um agente de ameaça com inclinações hacktivistas que surgiu em maio de 2021, atuando principalmente pela publicação de dados roubados por meio de um site na rede TOR e | 🇮🇷 Irã | — | — | |
| AuditTeamOperação de ransomware de pequeno porte, o AuditTeam conta com aproximadamente 5 vítimas conhecidas, concentradas em organizações dos setores de tecnologia e manufatura no Leste e | — | — | — | |
| avosAvos é o grupo responsável pelo ransomware AvosLocker, operando sob o modelo de Ransomware-as-a-Service (RaaS) desde junho de 2021. O grupo recruta afiliados para implantar o ranso | — | — | — | |
| avoslockerAvosLocker é o payload de ransomware do grupo Avos, operando no modelo RaaS entre julho de 2021 e aproximadamente maio de 2023. O grupo atuou nos setores de educação, manufatura e | — | — | — | |
| benzonaBenzona é uma operação de ransomware com motivação financeira que surgiu no final de 2024, tendo como alvos organizações de pequeno e médio porte nos setores de manufatura, saúde, | — | — | — | |
| bertGrupo de ransomware identificado pela primeira vez em meados de 2025, o BERT tem como alvo plataformas Windows e Linux nos setores de saúde, tecnologia e serviços de eventos em paí | — | — | — | |
| blacknevasBlackNevas é um grupo de ransomware observado pela primeira vez em novembro de 2024, com origem atribuída à família de ransomware Trigona. O grupo opera com um esquema de dupla ext | — | — | — | |
| blackoutBlackout é um grupo de ransomware que surgiu no início de 2024, tendo inicialmente direcionado seus ataques a entidades do setor de saúde no Canadá, França e Alemanha, antes de exp | — | — | — | |
| blackshadowaka AMERICIUM, Agonizing Serpens, Agrius | 🇮🇷 Irã | — | — | |
| blackshrantacBlackShrantac é um grupo de ransomware que emergiu no final de 2025, tendo como alvos organizações dos setores de manufatura, serviços financeiros, tecnologia e setor público em âm | — | — | — | |
| bluelockerOperação de ransomware de origem paquistanesa, o BlueLocker tem como alvo o setor de energia do Paquistão, com atuação direcionada especificamente contra a Pakistan Petroleum. | 🇵🇰 Paquistão | — | — | |
| brotherhoodBrotherhood é um grupo de ransomware que surgiu no final de 2025, atuando contra organizações nos Estados Unidos, Canadá e Austrália nos setores de manufatura, comunicações e const | — | — | — | |
| cephalusCephalus é uma operação de ransomware ativa desde meados de 2025 que utiliza credenciais RDP roubadas para implantar um payload de ransomware desenvolvido em Go por meio de DLL sid | — | — | — | |
| chilelockerChileLocker, também conhecido como ARCrypter, surgiu em agosto de 2022 após atacar uma agência governamental chilena e rapidamente expandiu suas operações globalmente. O grupo oper | — | — | — | |
| chortChort é uma operação de ransomware de dupla extorsão — cujo nome significa "Diabo" em russo — surgida em outubro de 2024, com origem na Rússia. O grupo atuou principalmente contra | 🇷🇺 Rússia | — | — | |
| cipherforceOperação de ransomware de origem chinesa detectada no início de 2026, o CipherForce mantém um site de vazamento na dark web e direciona suas atividades contra empresas dos setores | 🇨🇳 China | — | — | |
| crazyhunterCrazyHunter é um grupo de ransomware baseado em Go, surgido no início de 2025 e derivado do encriptador de código aberto Prince, que atua exclusivamente contra organizações taiwane | — | — | — | |
| crypto24Crypto24 é uma operação de ransomware como serviço (RaaS) de dupla extorsão originária do Vietnã, que emergiu no fórum RAMP em meados de 2024. O grupo tem como alvo grandes organiz | 🇻🇳 Vietnã | — | — | |
| daixinDaixin Team é uma operação de ransomware e extorsão de dados ativa desde pelo menos junho de 2022, com atuação voltada exclusivamente ao setor de Saúde e Saúde Pública dos Estados | — | — | — | |
| darkbitDarkBit é um grupo de ransomware de motivação ideológica que surgiu em fevereiro de 2023, tendo como alvo principal entidades israelenses — com destaque para o Instituto Technion — | 🇮🇷 Irã | — | — | |
| darkpowerDark Power surgiu em janeiro de 2023 como um grupo de ransomware desenvolvido na linguagem de programação Nim, reivindicando 10 vítimas em oito países já em seu primeiro mês de ati | — | — | — | |
| datacarryDataCarry é uma operação de ransomware e extorsão de dados observada pela primeira vez em maio de 2025, que adota o modelo de dupla extorsão com um portal de vazamento hospedado na | — | — | — | |
| desolatorDesolator é um grupo de ransomware surgido em maio de 2025, com atuação direcionada a empresas de construção e engenharia na América Latina e na Europa, além de companhias de tecno | — | — | — | |
| donutleaksDonut Leaks (também conhecido como D0nut) é um grupo de extorsão de dados ativo desde agosto de 2022, que desenvolveu seu próprio encriptador de ransomware. O grupo foi associado a | — | — | — | |
| fletchenFletchen é documentado principalmente como um infostealer-as-a-service sofisticado, escrito em Rust, voltado para o roubo de credenciais de navegadores, carteiras de criptomoedas e | — | — | — | |
| fragFrag é um grupo de ransomware que surgiu no final de 2024, explorando a vulnerabilidade crítica CVE-2024-40711 no Veeam Backup & Replication para comprometer alvos em setores indus | — | — | — | |
| freecivilianFreeCivilian é um grupo de extorsão de dados com suspeitas de vínculos com a inteligência militar russa GRU, conhecido por ter como alvo sites governamentais ucranianos — incluindo | 🇷🇺 Rússia | — | — | |
| fulcrumsecOperação de extorsão de dados ativa desde aproximadamente setembro de 2025, o FulcrumSec se especializa em exfiltração acelerada de bancos de dados hospedados em nuvem, explorando | — | — | — | |
| genesisOperação de ransomware identificada pela primeira vez no final de 2025, o Genesis tem como alvo organizações de pequeno e médio porte nos Estados Unidos, atuando nos setores de saú | — | — | — | |
| grooveGroove emergiu em meados de 2021 como um coletivo criminoso informal associado a ex-membros do grupo Babuk, tendo se notabilizado pela divulgação pública de credenciais de VPN Fort | — | — | — | |
| hellcatHellCat é uma operação de ransomware-as-a-service surgida no quarto trimestre de 2024 que ganhou notoriedade rapidamente por ataques de alto perfil contra a Schneider Electric, a T | — | — | — | |
| holyghostHolyGhost, rastreado pela Microsoft como DEV-0530, é um grupo de ransomware vinculado ao estado norte-coreano, ativo desde junho de 2021 e associado ao grupo de ameaça Andariel. Su | 🇰🇵 Coreia do Norte | — | — | |
| hotarusHotarus Corp é um grupo de ransomware que ganhou visibilidade no início de 2021 após ataques ao Ministério das Finanças do Equador e ao Banco Pichincha — o maior banco privado do p | — | — | — | |
| icefireOperação de ransomware iraniana observada pela primeira vez em 2022, o IceFire expandiu sua atuação para ambientes Linux no início de 2023, explorando a vulnerabilidade CVE-2022-47 | 🇮🇷 Irã | — | — | |
| IMNCrewIMN Crew é um grupo de extorsão de dados e ransomware que surgiu no final de março de 2025, atuando principalmente contra organizações do setor de serviços financeiros nos Estados | — | — | — | |
| interlockInterlock é uma operação de ransomware observada pela primeira vez em setembro de 2024, que atua contra setores de infraestrutura crítica — incluindo saúde, governo, educação e tec | — | — | — | |
| kairosKairos é uma operação de ransomware ativa desde o final de 2024 que se concentra exclusivamente na extorsão por meio de roubo de dados, sem utilizar criptografia. O grupo tem como | — | — | — | |
| karmaKarma é um grupo de ransomware observado pela primeira vez em meados de 2021, com linhagem que remonta às operações Nefilim e FiveHands. O grupo conduzia ataques de dupla extorsão | — | — | — | |
| kawa4096Kawa4096 é uma operação de ransomware que surgiu em junho de 2025, direcionando seus ataques a corporações multinacionais nos setores financeiro, educacional e de serviços, com foc | — | — | — | |
| kelvinsecurityKelvinSecurity é um grupo de motivação financeira ativo pelo menos desde 2015, dedicado principalmente ao roubo e venda de bases de dados de organizações dos setores de telecomunic | — | — | — | |
| kittykatkrewKittyKatKrew é um grupo de ransomware identificado pela primeira vez no início de 2026, que opera também sob o alias KKK. O grupo utiliza métodos de extorsão direta e dupla extorsã | — | — | — | |
| kryptosKryptos é um grupo de ransomware de pequeno porte cuja primeira atividade registrada ocorreu em outubro de 2025, quando realizou ataques simultâneos em sua estreia contra alvos na | — | — | — | |
| lamashtuLamashtu é uma operação de extorsão que surgiu em abril de 2026, reivindicando ataques contra organizações na França, na Romênia e na Tailândia nos setores de energia, farmacêutico | — | — | — | |
| lilithLilith é uma operação de ransomware baseada em C/C++ que surgiu em julho de 2022, voltada para sistemas Windows de 64 bits e com código compartilhado com a família de ransomware Ba | — | — | — | |
| linkcLinkc é um grupo de ransomware observado pela primeira vez em fevereiro de 2025, que opera um site de vazamento de dados baseado na rede Tor. O grupo utiliza táticas de dupla extor | — | — | — | |
| losttrustLostTrust é uma operação de ransomware de dupla extorsão surgida em março de 2023, que divulgou mais de 50 vítimas em poucos dias após o lançamento de seu site de vazamento em sete | — | — | — | |
| lunalockOperação de ransomware surgida em setembro de 2025 com foco em plataformas criativas e digitais, o LunaLock ficou conhecido por ataques a um marketplace de ilustradores e a um prov | — | — | — | |
| malekteamMalek Team é um agente de ameaça vinculado ao Irã que emergiu em 8 de outubro de 2023, acreditado ter ligação com a inteligência militar iraniana. O grupo atua principalmente com e | 🇮🇷 Irã | — | — | |
| metaencryptorMetaEncryptor é uma operação de ransomware identificada pela primeira vez em meados de 2023, com atuação voltada a empresas de médio e grande porte nos setores jurídico, tecnológic | — | — | — | |
| mnt6Operação de ransomware de perfil relativamente baixo, o MNT6 reivindica vítimas nos setores jurídico, manufatura, construção, saúde e logística em países como Estados Unidos, Canad | — | — | — | |
| moneymessageSurgida em março de 2023, a Money Message é uma operação de ransomware que tem como alvo sistemas Windows e Linux nos setores bancário, de transportes e de serviços profissionais. | — | — | — | |
| montiMonti é um grupo de ransomware observado pela primeira vez em junho de 2022, que inicialmente copiou quase todo o código-fonte vazado do Conti, direcionando seus ataques a entidade | — | — | — | |
| morpheusMorpheus surgiu no final de 2024 como uma operação de ransomware como serviço (RaaS) semiprivada cujos afiliados compartilham payloads idênticos ao grupo de ransomware HellCat. Os | — | — | — | |
| ms13089Grupo de ransomware surgido em dezembro de 2025, o MS13089 adotou como nome uma referência ao boletim de segurança da Microsoft de 2013 de mesmo identificador. O grupo opera sob o | — | — | — | |
| nasirsecurityNasirsecurity é um agente de ameaça pró-iraniano que surgiu por volta de outubro de 2025, atuando principalmente contra organizações do setor de energia no Oriente Médio — incluind | 🇮🇷 Irã | — | — | |
| netrunnerOperação de ransomware ativa desde pelo menos 2025, o NetRunner tem como alvos setores variados, incluindo saúde, telecomunicações, manufatura e agricultura, com vítimas identifica | — | — | — | |
| netwalkerOperação de ransomware identificada pelo nome de agente ameaça "CIRCUS SPIDER", o NetWalker foi descoberto em 2019 com foco principal na região da Ásia-Pacífico, embora tenha reali | — | — | — | |
| nightskyNightSky é uma operação de ransomware vinculada à China, atribuída ao cluster denominado "Emperor Dragonfly", que surgiu no final de 2021 e ganhou notoriedade no início de 2022 ao | 🇨🇳 China | — | — | |
| orcaOrca é um grupo de ransomware que surgiu em setembro de 2024, identificado como uma variante da família de malware Zeppelin. O grupo tem como alvos organizações dos setores de manu | — | — | — | |
| orionOrion é uma operação de ransomware observada pela primeira vez em outubro de 2025, que listou 13 supostas vítimas em um site de vazamentos na dark web abrangendo os setores de serv | — | — | — | |
| pay2keyPay2Key é um ransomware operado pelo agente de ameaças Fox Kitten, com atividade registrada desde julho de 2020 e atuação voltada principalmente a empresas israelenses. O grupo man | — | — | — | |
| prolockOperação de ransomware rastreada inicialmente sob o nome PwndLocker, observada a partir do final de 2019 com ataques direcionados a empresas e governos locais. Os valores de resgat | — | — | — | |
| radarRadar, também conhecido como Dispossessor, é um grupo de ransomware como serviço (RaaS) ativo desde agosto de 2023, liderado por um agente identificado como "Brain". O grupo tinha | — | — | — | |
| radiantRadiant é uma operação de ransomware com motivação financeira que emergiu em setembro de 2025, conduzindo ataques de dupla e simples extorsão sem o uso de afiliados. O grupo gerou | — | — | — | |
| ragnarlockerRagnar Locker foi uma operação de ransomware ativa de dezembro de 2019 a outubro de 2023, voltada a grandes empresas e infraestruturas críticas — com vítimas confirmadas como Capco | — | — | — | |
| redransomwareSurgida no início de 2024, a Red Ransomware (também conhecida como Red CryptoApp) é uma operação de ransomware que estreou seu site de vazamento de dados, denominado "Wall of Shame | — | — | — | |
| robinhoodRobbinHood é uma operação de ransomware observada pela primeira vez entre abril e maio de 2019, conhecida por ataques de alto impacto contra municípios norte-americanos, incluindo | — | — | — | |
| RunSomeWaresOperação de ransomware que emergiu em fevereiro de 2025, o RunSomeWares registrou vítimas iniciais nos setores de serviços de cadeia de suprimentos, serviços financeiros, contabili | — | — | — | |
| sabbathSabbath, também conhecido como 54BB47h e operado pelo cluster UNC2190, é um grupo de ransomware de origem russa ativo desde meados de 2021, surgido como uma reformulação da operaçã | 🇷🇺 Rússia | — | — | |
| safepaySurgida em setembro de 2024, a SafePay é uma operação de ransomware de crescimento acelerado que rejeita explicitamente o modelo de Ransomware-as-a-Service (RaaS), conduzindo todas | — | — | — | |
| sicariiSicarii é uma operação de ransomware-as-a-service de orientação pró-israelense/judaica que emergiu no final de 2025, declaradamente voltada a organizações de maioria árabe e muçulm | — | — | — | |
| skiraSkira é uma operação de ransomware de origem indiana que emergiu no final de 2024, assumindo responsabilidade pela violação da Carruth Compliance Consulting — incidente que expôs n | 🇮🇳 Índia | — | — | |
| slugSlug é uma operação de ransomware de perfil bastante obscuro, com apenas uma vítima documentada nas plataformas de rastreamento de ransomware: a AerCap, empresa de arrendamento de | — | — | — | |
| spookSpook é uma operação de ransomware que atuou brevemente entre setembro e outubro de 2021, funcionando como um rebranding do grupo Prometheus — construído sobre o builder Thanos. O | — | — | — | |
| teamxxxOperação de ransomware surgida em junho de 2025, quando lançou seu site de vazamento de dados, o TeamXXX passou a reivindicar vítimas nos setores de saúde, agricultura, hotelaria, | — | — | — | |
| TiMcTiMc é um grupo de ransomware surgido no início de 2026, tendo reivindicado ataques de alto impacto contra a empresa espanhola de serviços de TI Seidor, com mais de 1 TB de dados c | — | — | — | |
| tridentlockerTridentLocker é uma operação de ransomware surgida em meados de 2025 que tem como alvo organizações que gerenciam grandes volumes de dados regulamentados ou de terceiros, incluindo | — | — | — | |
| ValenciaLeaksValenciaLeaks é um grupo de extorsão de dados que emergiu entre agosto e setembro de 2024, com atuação voltada à exfiltração de grandes volumes de dados e posterior publicação em u | — | — | — | |
| walockerWALocker é um grupo de ransomware emergente que ganhou notoriedade em 2025, com atuação direcionada a organizações no Sudeste Asiático e entidades governamentais. Entre suas ações | — | — | — | |
| weyhroWeyhro é uma operação de extorsão de dados que, ao contrário de grupos tradicionais de ransomware, não realiza cifragem de arquivos — baseando sua pressão sobre as vítimas na ameaç | — | — | — | |
| xp95XP95 é um grupo de extorsão cibernética surgido em março de 2026, que opera sob um modelo de roubo de dados e extorsão sem uso de ransomware para criptografia de arquivos. O grupo | — | — | — | |
| yanluowangYanluowang é uma operação de ransomware que cifra e renomeia arquivos, encerrando processos em execução e serviços ativos, além de criar um arquivo README.txt com a nota de resgate | — | — | — | |
| yureiYurei é uma operação de ransomware observada pela primeira vez em setembro de 2025, cujo payload consiste em um fork minimamente modificado do Prince-Ransomware, projeto de código | — | — | — | |
| ALP-001ALP-001 é uma operação de ransomware com ao menos uma vítima confirmada no Brasil registrada nos dados disponíveis. | — | 1 | — | |
| 0aptOperação de ransomware rastreada sob a designação 0apt, classificada como agente de ameaça com motivação financeira típica desse modelo operacional. | — | — | — | |
| lockbit5Operação de ransomware ressurgida em setembro de 2025, o LockBit 5.0 — também conhecido como "ChuongDong" — representa o retorno do grupo após a ação de autoridades policiais que d | — | 55 | — | |
| thegentlemenTheGentlemen é uma operação de ransomware como serviço (RaaS) que emergiu entre julho e agosto de 2025, acumulando rapidamente mais de 320 vítimas em 17 ou mais países ao oferecer | — | 42 | — | |
| lockbit3LockBit, também conhecido como LockBit Black ou LockBit 3.0, é uma das maiores operações de ransomware do mundo, responsável por ataques cibernéticos extensivos em diversos setores | — | 39 | — | |
| ransomhubRansomHub é uma operação de ransomware como serviço (RaaS) de origem russa, cujo programa de afiliados foi anunciado em 2 de fevereiro de 2024 pelo usuário de apelido "koley" no fó | 🇷🇺 Rússia | 35 | — | |
| 8baseO grupo 8base surgiu em março de 2022 e, após um período de baixa atividade, registrou um aumento expressivo de operações entre maio e junho de 2023, quando listou 131 organizações | — | 20 | — | |
| babuk2Babuk2, também conhecido como Bjorka ou SkyWave, é uma operação de ransomware que, após não obter lucro com a venda de bases de dados públicas em fóruns, passou a se passar pelo gr | — | 15 | — | |
| qilinQilin é uma operação de ransomware observada pela primeira vez em julho de 2022, desenvolvida em Golang e que suporta múltiplos modos de criptografia, todos controlados pelo operad | — | 15 | — | |
| novaNova, anteriormente conhecida como RALord, é uma operação de ransomware-as-a-service (RaaS) que cifra os arquivos das vítimas e adota táticas de dupla extorsão para pressionar orga | — | 12 | — | |
| alphvALPHV, também conhecido como BlackCat, é uma operação de ransomware cujos operadores iniciaram suas atividades em dezembro de 2021, divulgando seu programa de afiliados em fóruns d | — | 11 | — | |
| apt73aka Eraleig | — | 9 | — | |
| Emperador | — | 9 | — | |
| krybitKrybit é uma operação de ransomware como serviço (RaaS) surgida no final de março de 2026, que oferece a afiliados uma divisão de receita de 80/20 com suporte a criptografia em amb | — | 8 | — | |
| lockbit2LockBit 2.0 é a segunda versão principal da plataforma de ransomware-as-a-service LockBit, lançada em meados de 2021, que introduziu criptografia automatizada em todo o domínio por | — | 8 | — | |
| worldleaksWorldLeaks surgiu em janeiro de 2025 como uma reformulação da operação de ransomware Hunters International, alterando sua abordagem para focar exclusivamente no roubo de dados sens | — | 8 | — | |
| coinbasecartelCoinbaseCartel é uma operação de ransomware especializada em aquisição de dados por meio de acesso a sistemas e parcerias estratégicas, com foco exclusivo em exfiltração de informa | — | 7 | — | |
| N0n | — | 7 | — | |
| qiulongQiulong é uma operação de ransomware de origem brasileira que surgiu por volta de abril de 2024, atuando principalmente contra organizações no Brasil. O grupo adota dupla extorsão | 🇧🇷 Brasil | 7 | — | |
| stormousOperação de ransomware de origem russa e orientação pró-Rússia, o Stormous é um grupo árabe-falante com atuação hacktivista e criminosa ativa desde pelo menos 2022, conduzindo ataq | 🇷🇺 Rússia | 7 | — | |
| devmanOperação de ransomware com histórico de atuação como afiliado dos grupos RansomHub e INC Ransom. O grupo possui seis vítimas conhecidas no Brasil, o que indica presença relevante n | — | 6 | — | |
| fogFog é uma operação de ransomware identificada pela extensão `.flocked` aplicada aos arquivos cifrados, observada pela primeira vez em campanhas conduzidas pelo ator de ameaça Storm | — | 6 | — | |
| knightKnight é uma operação de ransomware que representa o rebranding do grupo Cyclops. Foram identificadas 6 vítimas conhecidas no Brasil associadas a essa operação. | — | 6 | — | |
| Section9🚨 This is a fake group with fake victims. | — | 6 | — | |
| beastBeast é uma operação de ransomware operada no modelo Ransomware-as-a-Service (RaaS) que oferece recursos como varredura SMB, criptografia de arquivos, inicialização e interrupção d | — | 5 | — | |
| medusalockerOperação de ransomware rastreada sob o nome MedusaLocker, com duas vítimas confirmadas no Brasil. A infraestrutura da ameaça é baseada em um bot escrito em .NET 2.0, utilizando HTT | — | 5 | — | |
| rhysidaRhysida é uma operação de ransomware-as-a-service (RaaS) que surgiu em maio de 2023, utilizando ataques de phishing e o Cobalt Strike para comprometer redes e implantar suas cargas | — | 5 | — | |
| vectVECT é uma operação de ransomware como serviço (RaaS) que lançou seu programa de afiliados em dezembro de 2025, estruturado em cinco níveis de compartilhamento de receita e com par | — | 5 | — | |
| BrainCipherBrainCipher é uma operação de ransomware surgida em julho de 2024, que opera com variantes para Windows e Linux construídas sobre o vazamento do LockBit Black. O grupo é suspeito d | — | 4 | — | |
| Global Secret Group | — | 4 | — | |
| huntersOperação de ransomware surgida em meados de outubro de 2023, o grupo Hunters International afirma ter adquirido o código-fonte do Ransomware Hive — incluindo seu site e versões ant | — | 4 | — | |
| royalRoyal é uma operação de ransomware observada pela primeira vez em setembro de 2022, cujos agentes de ameaça são considerados cibercriminosos experientes com histórico no grupo Cont | — | 4 | — | |
| Vexy Ransomware | — | 4 | — | |
| cicada3301Cicada3301 é uma operação de ransomware-as-a-service — rastreada como Repellent Scorpius pela Palo Alto — que surgiu em meados de 2024 com um ransomware desenvolvido em Rust, capaz | — | 3 | — | |
| clopO Cl0p é uma operação de ransomware derivada de uma cepa anteriormente conhecida como CryptoMix, com motivação exclusivamente financeira. O grupo foi identificado em 2019 como payl | — | 3 | — | |
| DeadlockDeadlock é uma operação de ransomware cujas atividades são monitoradas no contexto de ameaças a organizações. O grupo emprega táticas típicas de ransomware moderno, com foco na ext | — | 3 | — | |
| ransomedOperação de ransomware ativa entre agosto e novembro de 2023, o RansomedVC atuou brevemente como RaaS e ficou conhecido por reivindicar vítimas de alto perfil, como a Sony, introdu | — | 3 | — | |
| settraSettra é uma operação de ransomware cujos detalhes de origem, afiliações e alcance de vítimas permanecem limitados nas informações disponíveis publicamente. --- *Nota interna: os | — | 3 | — | |
| threeamFamília de ransomware identificada em setembro de 2023, o ThreeAM (também grafado "3AM") foi observado pela equipe da Symantec quando um afiliado tentou implantar o LockBit em uma | — | 3 | — | |
| wannacryOperação de ransomware que se propaga explorando vulnerabilidades no sistema operacional Windows, o WannaCry tornou-se uma ameaça global em seu auge em maio de 2017. Os agentes por | — | 3 | — | |
| alphalockerAlphaLocker é uma operação de ransomware de baixo custo construída sobre o projeto de código aberto EDA2, que comercializa para afiliados um painel administrativo, um executável de | — | 2 | — | |
| atomsiloAtomSilo é uma operação de ransomware de dupla extorsão surgida em setembro de 2021, atribuída ao agente de ameaça de origem chinesa BRONZE STARLIGHT. O grupo ficou conhecido pela | 🇨🇳 China | 2 | — | |
| blackbastaBlack Basta é uma operação de ransomware identificada em abril de 2022, com indícios de desenvolvimento desde pelo menos o início de fevereiro do mesmo ano. Pela velocidade com que | — | 2 | — | |
| DoommageddonDirect Extortion Double Extortion | — | 2 | — | |
| Eclipse | — | 2 | — | |
| ElDoradoaka BlackLocks, GLOBAL GROUP, Mamona | — | 2 | — | |
| L Group | — | 2 | — | |
| m3rxOperação de ransomware observada pela primeira vez em 2025, o M3rx é um grupo de pequeno porte que utiliza criptografia AES-CTR/AES-GCM em seus ataques. O grupo tem como alvos orga | — | 2 | — | |
| Panzer | — | 2 | — | |
| ransomexxRansomExx é uma família de ransomware que passou a ter como alvo múltiplas empresas a partir de meados de 2020, apresentando características em comum com o ransomware Defray777. A | — | 2 | — | |
| unsafeOperação de ransomware conhecida pelo aparente reaproveitamento de vazamentos originados de outros grupos de ransomware. | — | 2 | — | |
| 0day SyndicateOperação de ransomware com ao menos uma vítima confirmada no Brasil, o 0day Syndicate integra o cenário de grupos cibercriminosos voltados à extorsão mediante cifragem de dados. Su | — | 1 | — | |
| Barracuda | — | 1 | — | |
| BlackfieldBlackfield é uma operação de ransomware cujos detalhes de origem, afiliações e campanhas documentadas permanecem limitados nos registros públicos disponíveis. O grupo opera no mode | — | 1 | — | |
| blacksuitBlackSuit é uma operação de ransomware que apresenta sobreposição significativa de código com o Royal Ransomware, conforme análise da Trend Micro. O grupo possui uma vítima confirm | — | 1 | — | |
| Booba ProjectBooba | — | 1 | — | |
| cactusOperação de ransomware identificada por volta de março de 2023, o CACTUS ficou conhecido por explorar vulnerabilidades para obter acesso inicial e manter persistência na infraestru | — | 1 | — | |
| ciphbitCiphBit é uma operação de ransomware-as-a-service ativa desde abril de 2023, com foco em pequenas e médias empresas no Reino Unido, Europa e América do Norte, acumulando 38 vítimas | — | 1 | — | |
| Dark ProjectDark Project is a newly emerged ransomware leak operation active as of August 2026. The group utilizes a double extortion model (stealing sensitive data before encrypting local sys | — | 1 | — | |
| HYFLOCK | — | 1 | — | |
| lvO LV é uma operação de ransomware cujo discurso público responsabiliza as vítimas por supostamente negligenciar a proteção de dados de clientes e funcionários. Pesquisadores de seg | — | 1 | — | |
| malloxMallox é uma operação de ransomware cuja atividade remonta a meados de junho de 2021. O grupo emprega uma combinação de algoritmos criptográficos — ChaCha20, AES-128 e Curve25519 — | — | 1 | — | |
| mazeMaze é uma operação de ransomware conhecida por ter sido uma das pioneiras no modelo de "dupla extorsão", no qual, além de cifrar os dados das vítimas, o grupo ameaçava publicar as | — | 1 | — |
Mostrando 200 de 414. Busque pelo nome para achar os outros.