Osiris ransomware usa driver POORTRY em ataque BYOVD
Osiris ransomware ganhou os holofotes após invadir, em novembro de 2025, a rede de uma grande operadora de franquias de alimentação no Sudeste Asiático, desativando antivírus com a técnica BYOVD (bring your own vulnerable driver) e um driver malicioso batizado de POORTRY.
Como o ataque foi articulado
Segundo relatório conjunto da Symantec e da Carbon Black Threat Hunter Team, o grupo invasor exfiltrou dados sigilosos para buckets Wasabi via Rclone antes de acionar a criptografia. Ferramentas “dual-use”, como Netscan e Mimikatz (renomeado para “kaz.exe”), facilitaram reconhecimento de rede e roubo de credenciais. A suspeita é de que os operadores tenham ligação com o antigo INC ransomware.
POORTRY: driver feito sob medida para derrubar defesas
Diferente de ataques BYOVD tradicionais, que exploram drivers legítimos porém vulneráveis, o POORTRY foi criado do zero para obter privilégios de sistema e encerrar processos de segurança. O utilitário KillAV também apareceu na infraestrutura da vítima, reforçando a estratégia de desligar proteções antes de criptografar arquivos.
Detalhes técnicos do Osiris
A nova família usa criptografia híbrida e gera uma chave única por arquivo, aumentando a dificuldade de recuperação. Serviços de produtividade (Microsoft Office, Exchange), navegadores (Firefox) e sistemas de backup (Veeam) estão na lista de processos mortos por padrão. O executável também permite excluir extensões específicas, interromper serviços e exibir nota de resgate.
Panorama do ransomware em 2025
O relatório aponta 4.737 ataques de ransomware divulgados em sites de vazamento no ano — leve alta de 0,8% em relação a 2024. Grupos como Akira, Qilin e LockBit continuam ativos, adotando drivers vulneráveis ou customizados para escapar de detecção, estratégia semelhante à vista no Osiris.
Imagem: Internet
Para reduzir riscos, especialistas recomendam limitar RDP, adotar autenticação multifator, criar listas de permissões de aplicativos e manter backups off-site. Mais detalhes técnicos estão no artigo original do The Hacker News, referência em cibersegurança.
Quer continuar atualizado sobre ameaças e hardening de sistemas? Acesse nossa página inicial e confira outros guias para proteger seu setup.
Crédito da imagem: The Hacker News Fonte: The Hacker News
