O Dark Project, uma operação de ransomware de motivação financeira em ascensão, reivindicou 38 vítimas em oito países no levantamento de inteligência de ameaças analisado, com os setores de manufatura e saúde concentrando a maior exposição.
O grupo combina roubo de dados, criptografia de sistemas e ameaças de divulgação pública, com um programa de afiliados criado para escalar invasões.
Os números representam alegações publicadas por meio de infraestrutura criminosa, e não violações confirmadas de forma independente.
Os totais também variam conforme o período de coleta. O Ransomware.live lista 40 vítimas em oito países, o que reforça que o conjunto de 38 vítimas deve ser tratado como um retrato pontual, e não como um total atual definitivo.
A manufatura responde por 12 vítimas reportadas, a saúde por sete e a construção por quatro. Juntas, manufatura e saúde somam metade do conjunto de dados.
O Bitcoin é anunciado como forma de pagamento. Menções à Coinbase e à Binance descrevem opções de compra, e não evidência de que alguma dessas corretoras participe ou endosse a operação.
Esses números descrevem a distribuição das vítimas divulgadas. Eles não permitem afirmar se os afiliados priorizaram deliberadamente esses setores ou exploraram organizações que apresentavam pontos de entrada acessíveis.
Dark Project: operação de ransomware
O levantamento indica que a atividade mais antiga começou em junho de 2026, com quatro divulgações. Agosto registrou 20 listagens, seguido de cinco em setembro, cinco em outubro e quatro em novembro.
Os registros analisados identificam 30 organizações nos Estados Unidos, seguidas de duas no Reino Unido. Alemanha, Brasil, Filipinas, Turquia, México e Canadá têm, cada um, um registro.
Rastreadores públicos descrevem, por outro lado, o surgimento ou as primeiras listagens observadas em agosto, o que deixa a cronologia anterior sem corroboração. As datas de divulgação não devem ser interpretadas como datas de invasão.
Segundo pesquisadores da Gurucul, o Dark Project anuncia uma comissão de 80% para os afiliados, ficando com 20% pelos serviços da plataforma e pelas atividades de relatório.
O fluxo de recrutamento envolve contato via Tox, triagem, integração, atribuição de um identificador de parceiro, implantação de cargas maliciosas (payloads) e liquidação da comissão.
Os operadores afirmam ser responsáveis pela comunicação com as vítimas e pelas negociações de resgate, enquanto os afiliados cuidam das implantações.
A infraestrutura anunciada inclui um painel hospedado na rede Tor, agentes nos formatos EXE (executável) e BIN (binário), que carregam identificadores de afiliados, e ferramentas de engenharia social.
São alegações dos próprios operadores, não capacidades validadas de forma independente. Ainda assim, o arranjo descreve uma estrutura de ransomware como serviço (RaaS) que separa a atividade de invasão da gestão centralizada da extorsão.
O Dark Project segue um modelo de dupla extorsão: rouba informações sensíveis antes de criptografar os sistemas e, em seguida, ameaça publicá-las em seu portal de vazamentos na rede Tor. Rastreadores públicos de ransomware descrevem de forma independente essa combinação de criptografia e pressão por divulgação.
Segundo as informações de inteligência, o acesso inicial é obtido por phishing, RDP (Protocolo de Área de Trabalho Remota) exposto, credenciais comprometidas e acesso VPN (rede privada virtual) adquirido por meio de registros de programas que roubam senhas (infostealers) ou de corretores de acesso. O mapeamento MITRE ATT&CK (matriz de táticas e técnicas de ataque) inclui WMI (Instrumentação de Gerenciamento do Windows), SMB (Bloco de Mensagens do Servidor), abuso de credenciais, exfiltração, criptografia e inibição de recuperação.
