Percepções sobre projetos de avaliação de comprometimento: o que 2025 revelou
A análise a seguir reúne os principais achados das Avaliações de Comprometimento realizadas pela Kaspersky ao longo de 2025. Esse tipo de projeto tem um objetivo bem definido: responder, com base em evidências técnicas, à pergunta crítica “nossa rede já foi invadida – e ainda está?”.
Uma Avaliação de Comprometimento é um serviço independente, conduzido por especialistas, que combina diversas frentes de análise:
– inteligência de ameaças, incluindo fontes abertas e não públicas;
– varredura aprofundada de endpoints com ferramentas especializadas;
– correlação e revisão sistemática de logs de segurança e eventos de sistemas;
– análise de tráfego de rede em busca de comunicações suspeitas;
– quando necessário, resposta inicial a incidentes e coleta forense digital.
O foco deste relatório está justamente nos incidentes que não foram percebidos pelas organizações – ameaças que se mantiveram ativas ou em estado latente por semanas, meses e até anos, sem qualquer detecção pelos controles de segurança existentes.
—
Panorama geográfico dos incidentes em 2025
O portfólio global de Avaliação de Comprometimento abrange empresas de múltiplas regiões e tamanhos. Em 2025, a distribuição dos incidentes identificados foi a seguinte:
– cerca de 71% dos comprometimentos detectados afetaram clientes da região META;
– as regiões APAC e CEI responderam, juntas, pelos 29% restantes.
Essa concentração na região META não significa que os demais mercados sejam mais seguros, mas reflete, em grande parte, a combinação entre superfície de ataque, maturidade de segurança e o volume de projetos conduzidos nessas localidades. Em muitos casos, as organizações só recorrem à avaliação após sinais indiretos de anomalias, o que aumenta a probabilidade de encontrar incidentes já em estágio avançado.
—
Setores mais afetados: onde os riscos se concentram
As Avaliações de Comprometimento foram solicitadas por organizações de segmentos bastante distintos. Em 2025, a distribuição setorial dos incidentes verificados foi:
– setor governamental: aproximadamente 29% dos casos;
– setor de educação: cerca de 19%;
– setor financeiro: em torno de 17%;
– o restante distribuído entre indústria, serviços, saúde, tecnologia e outras áreas.
O protagonismo do setor público e de instituições de ensino revela dois pontos importantes:
1. Essas entidades se tornaram alvos prioritários para espionagem, ataques de ransomware e roubo de dados sensíveis;
2. A heterogeneidade de ambientes legados, somada a recursos de segurança muitas vezes limitados, facilita a permanência discreta de atacantes por longos períodos.
No setor financeiro, a alta criticidade dos ativos e a necessidade de conformidade regulatória costumam acelerar a decisão de contratar avaliações desse tipo, sobretudo quando há suspeita de fraude, movimentações atípicas ou uso abusivo de credenciais privilegiadas.
—
Como funcionam as famílias de lógica de detecção
Para tornar os resultados comparáveis entre diferentes projetos, as Avaliações de Comprometimento adotam um catálogo continuamente atualizado de indicadores de ataque (IoAs). Esses IoAs incluem desde padrões de comportamento suspeito até rastros específicos de ferramentas, técnicas e malwares utilizados por cibercriminosos.
Entretanto, esse conjunto bruto de IoAs é extremamente granular e técnico, o que dificulta o uso em relatórios gerenciais. Por isso, eles são agrupados em famílias de lógica de detecção – categorias que representam modelos de ataque com características semelhantes.
A análise estatística de 2025 mostra que três famílias de lógica de detecção se sobressaem e concentram a maioria dos incidentes identificados. Essas famílias englobam, por exemplo:
– uso de malware baseado em disco, muitas vezes dormente, à espera de um comando;
– ataques persistentes de múltiplos estágios, com movimentação lateral e escalonamento de privilégios;
– técnicas avançadas voltadas a manter o acesso sem acionar alertas dos sistemas de segurança.
Em conjunto, essas três famílias representam indicadores de alta fidelidade, ou seja, quando são identificadas, quase sempre apontam para um comprometimento real da infraestrutura – não meros falsos positivos.
—
Motivações típicas para iniciar uma Avaliação de Comprometimento
As organizações recorrem a esse tipo de serviço por motivos diversos, mas algumas motivações se repetem com frequência:
– necessidade de uma “auditoria de saúde” de segurança, sem incidentes aparentes, apenas para validar se há vestígios de invasões passadas;
– suspeita de que um incidente tenha sido mal contido ou incompletamente investigado;
– exigências de auditorias externas, reguladores ou parceiros de negócio;
– preparação para projetos de transformação digital ou migração em larga escala (por exemplo, para nuvem), que demandam garantir um ponto de partida “limpo”;
– reforço de segurança após notícias de campanhas de ataques direcionados a um determinado setor ou região.
A análise das avaliações concluídas em 2025 mostra uma correlação nítida entre o objetivo declarado pela organização e o perfil de risco encontrado. Auditorias gerais – isto é, avaliações solicitadas sem um incidente pontual em mente – representaram cerca de 56% do portfólio. Mesmo nesses casos, em que a empresa acreditava estar operando normalmente, muitos ambientes apresentaram sinais de comprometimentos antigos, atividades maliciosas de baixa intensidade ou abuso de ferramentas legítimas para fins indevidos.
—
Incidentes de longa duração: ameaças latentes que passam despercebidas
Uma das conclusões mais preocupantes é a recorrência de incidentes de longa duração que permaneceram totalmente invisíveis às equipes internas de segurança. Em vários projetos, foram encontrados sinais de invasões que se estendiam por mais de um ano; em casos extremos, por vários anos.
Um dos padrões observados é o da “ameaça latente”: o invasor obtém acesso ao ambiente, implanta mecanismos de persistência discretos e, em seguida, reduz ao mínimo sua atividade, usando o ambiente apenas em momentos específicos, quando precisa extrair informações ou movimentar recursos. Esse comportamento reduz fortemente a probabilidade de disparo de alertas automatizados.
—
Estudo de caso: mineração de criptomoedas em controladores de domínio por quatro anos
Em um caso analisado, a avaliação revelou atividade de mineração de criptomoedas em controladores de domínio que se mantinha ativa havia cerca de quatro anos. Os malwares responsáveis haviam sido discretamente instalados em servidores críticos, aproveitando janelas de manutenção em que processos adicionais eram esperados e pouco escrutinados.
A carga maliciosa consumia recursos computacionais em períodos de menor utilização do sistema, modulando o uso de CPU para não chamar atenção de forma evidente. O resultado foi um impacto financeiro e operacional significativo ao longo do tempo, embora não houvesse, à primeira vista, sintomas dramáticos como indisponibilidade total de serviços.
Esse caso ilustra bem como ameaças com perfil “baixo e constante” conseguem atravessar múltiplos ciclos de upgrade de hardware, mudanças de equipe e até revisões de arquitetura, permanecendo ativas graças à ausência de monitoramento contínuo e de revisões forenses periódicas.
—
Preservação não intencional de malware e uso abusivo de ferramentas legítimas
Outro padrão comum é a “preservação involuntária” de artefatos maliciosos. Em diversos projetos, sistemas de backup, imagens de máquinas virtuais e repositórios de software armazenavam cópias de malwares antigos e scripts usados em ataques passados. Em alguns cenários, esses artefatos eram reinstalados inadvertidamente quando um servidor era restaurado ou quando uma imagem considerada “padrão” era usada para reimplantar máquinas.
Além disso, um número relevante de incidentes estava ligado ao uso de binários nativos do sistema operacional e ferramentas administrativas legítimas, conhecidos como LoLBins (Living-off-the-Land Binaries) e soluções de acesso remoto. Entre elas, destacam-se utilitários de linha de comando, ferramentas de inventário e softwares de suporte remoto amplamente adotados.
Isoladamente, essas ferramentas são completamente legítimas. O problema surge quando são usadas para fins maliciosos, como movimentação lateral, coleta de credenciais, desativação de antivírus ou exfiltração de dados. Quando não há regras de uso bem definidas, monitoramento de comportamento e registros detalhados de acesso, torna-se extremamente difícil distinguir qual atividade é de um administrador e qual é de um intruso.
—
Falhas de monitoramento contínuo e busca proativa de ameaças
Um dos fatores que mais contribuem para a longa permanência de invasores é a ausência de monitoramento contínuo aliado à falta de threat hunting estruturado. Em muitas organizações, a detecção still é baseada, predominantemente, em alertas reativos: antivírus apontando uma ameaça específica, firewall bloqueando uma conexão incomum, ou sistemas detectando padrões já conhecidos.
Quando não há atividades regulares de busca proativa de ameaças – envolvendo correlação avançada de logs, análise de anomalias e caça a IoAs em larga escala – grande parte dos ataques avançados não gera sinais suficientemente claros para serem capturados pelos controles tradicionais.
Um estudo de caso de 2025 ilustrou esse cenário: uma empresa que havia investido em segurança “desde a concepção”, aplicando boas práticas em projeto e implementação, mas sem estabelecer monitoramento contínuo. A Avaliação de Comprometimento encontrou sinais de acesso indevido em sistemas estratégicos, provavelmente originados meses antes, e que passaram despercebidos justamente pela ausência de um SOC ou de processos de revisão recorrente de eventos.
—
Coleta forense como ponto de entrada e o paradoxo da contenção
Nas respostas iniciais a incidentes identificados durante as avaliações, a coleta forense é tratada como ponto de entrada padrão. A razão é simples: qualquer ação precipitada de remoção de arquivos, limpeza de registros ou formatação de máquinas pode eliminar evidências essenciais para reconstruir a cadeia de ataque, identificar a origem do comprometimento e verificar se há outros sistemas afetados.
Surge, então, um paradoxo: quanto mais urgente parece ser “limpar” o ambiente – por pressão operacional ou temor de impacto de negócios -, maior o risco de comprometer a eficácia da investigação. Um exemplo recorrente é a exclusão de chaves de registro, scripts ou arquivos suspeitos logo após o primeiro alerta, sem antes capturá-los adequadamente para análise forense.
Essa tensão entre velocidade de contenção e preservação de evidências exige processos bem definidos e comunicação clara entre áreas técnicas, jurídico, compliance e liderança executiva. Quando essa comunicação falha, multiplicam-se retrabalhos, janelas de indisponibilidade desnecessárias e, em casos extremos, a necessidade de repetir partes inteiras da investigação.
—
A natureza iterativa do plano de resposta a incidentes
Outro aprendizado das avaliações é que um plano de resposta a incidentes eficaz é, por natureza, iterativo. Raramente a primeira versão de um plano cobre adequadamente todos os cenários reais que surgem em um ataque complexo.
À medida que novos artefatos são descobertos, que se compreende melhor o movimento lateral do invasor ou que surgem evidências de comprometimentos adicionais, o plano precisa ser ajustado, expandido ou revisado. Isso inclui desde mudanças em prioridades de contenção até ajustes em procedimentos de comunicação interna e externa, bem como revisões técnicas nas regras de detecção.
Um aspecto que se revelou crítico é a capacidade de diferenciar, rapidamente, artefatos genuinamente usados por atacantes de resíduos de testes de intrusão ou exercícios de Red Team realizados anteriormente. Em várias organizações, a falta de rastreabilidade desses testes gerou confusão durante a avaliação, atrasando decisões de contenção por não se saber com clareza se determinado indicador era “teatro de ataque” antigo ou uma intrusão real em curso.
—
Maturidade de resposta e gravidade dos incidentes
Os dados de 2025 apontam uma forte relação entre o nível de maturidade da resposta a incidentes e a gravidade final do comprometimento. Organizações com procedimentos formais, papéis bem definidos, inventário de ativos atualizado e trilhas de auditoria completas tendem a:
– detectar sinais iniciais de ataque mais cedo;
– conter o avanço do invasor com maior rapidez;
– reduzir o impacto em termos de indisponibilidade, perda de dados ou custos de recuperação.
Já ambientes sem governança clara de incidentes, com registros fragmentados e ausência de treinamento de equipes, frequentemente apresentaram incidentes prolongados, maior extensão de sistemas comprometidos e dificuldade de restabelecer um estado confiável após a limpeza.
Um dos casos emblemáticos foi a infecção “LionTail” em memória em servidores Windows críticos, detectada apenas graças à varredura especializada durante a Avaliação de Comprometimento. Como essa ameaça operava quase inteiramente em memória, com pouquíssimos rastros em disco, os controles convencionais de endpoint não chegaram a gerar alertas significativos. A baixa maturidade dos processos internos de monitoramento contribuiu diretamente para a permanência discreta da ameaça por um período extenso.
—
Causas raiz mais comuns: além do sintoma, o problema estrutural
Concluir uma Avaliação de Comprometimento apenas removendo malwares e fechando brechas imediatas é insuficiente. Um dos objetivos centrais é entender o “por quê” – as causas estruturais que permitiram o ataque.
Entre as causas raiz mais recorrentes observadas em 2025 destacam-se:
– ausência de gestão estruturada de vulnerabilidades, com sistemas críticos rodando versões desatualizadas e expostas na internet;
– políticas de senha fracas ou inexistentes, combinadas com falta de autenticação multifator em acessos sensíveis;
– configuração excessivamente permissiva de mecanismos de distribuição de software, GPOs e ferramentas de administração remota;
– segmentação de rede insuficiente, permitindo que o invasor, após o primeiro acesso, alcançasse rapidamente sistemas de alto valor;
– visibilidade limitada sobre endpoints, servidores e serviços em nuvem, dificultando a correlação de eventos.
—
Falhas de detecção e seus impactos
Outro eixo importante da análise está na compreensão de por que as soluções de proteção já existentes não impediram ou não sinalizaram adequadamente os incidentes. Em muitos casos, a falta não está apenas na tecnologia, mas em sua configuração, cobertura e integração.
Alguns padrões observados:
– soluções de endpoint desatualizadas, sem políticas de atualização automáticas ou com agentes desativados em máquinas críticas por “exceções de negócio”;
– regras de correlação em SIEM pouco refinadas, gerando tanto ruído que alertas realmente relevantes eram diluídos em um mar de falsos positivos;
– ausência de monitoramento de atividades em memória, o que permite que malwares fileless ou frameworks de ataque permaneçam invisíveis;
– logs incompletos ou retidos por períodos muito curtos, impossibilitando reconstruir a linha do tempo do ataque.
Um estudo de caso ilustrativo foi uma infecção por PurpleFox que operava principalmente em memória, evadindo as tecnologias tradicionais de proteção de endpoints. A ausência de visibilidade adequada sobre comportamento em memória e de mecanismos de detecção baseados em anomalias de processo permitiu que a ameaça se mantivesse ativa sem ser notada.
—
Gestão de vulnerabilidades deficiente: catalisador para incidentes graves
Gestão insuficiente de vulnerabilidades apareceu repetidamente como um fator de amplificação de risco. Quando falhas conhecidas – muitas vezes com correções disponíveis há meses ou anos – permanecem sem tratamento, os atacantes encontram um terreno fértil para comprometer ambientes com pouco esforço técnico.
Em vários projetos, a cadeia de ataque começou com a exploração de vulnerabilidades amplamente divulgadas em sistemas expostos, como servidores web, gateways de e-mail ou dispositivos de VPN. Mesmo após campanhas públicas de alerta, muitos desses sistemas continuavam sem patch, seja por falta de inventário preciso, medo de impactos em aplicações legadas ou simples ausência de processos maduros de priorização e correção.
Um estudo de caso emblemático envolveu o uso de políticas de GPO excessivamente permissivas para distribuição de software. Administrações centralizadas, sem controles granulados de quem pode distribuir o quê e para onde, permitiram que um agente malicioso se espalhasse rapidamente por diversos segmentos da rede, sob a “máscara” de uma atualização corporativa legítima.
—
Boas práticas e recomendações para reduzir o risco de comprometimento oculto
Com base nas observações de 2025, algumas medidas se destacam como fundamentais para reduzir a probabilidade de incidentes de longa duração e de difícil detecção:
1. Implantar monitoramento contínuo com foco em comportamento
Não se limitar a regras de assinatura. Investir em detecção baseada em anomalias, análise de comportamento de usuário e máquina, e correlação avançada de eventos.
2. Formalizar programas de threat hunting
Estabelecer rotinas periódicas de caça a ameaças com base em IoAs atualizados e inteligência de ameaças, cobrindo endpoints, servidores, rede e ambientes em nuvem.
3. Fortalecer a gestão de vulnerabilidades
Manter inventário de ativos, priorizar correções por criticidade e exposição, e integrar a gestão de vulnerabilidades ao processo de mudança de TI.
4. Endurecer o uso de ferramentas legítimas
Definir quais LoLBins e ferramentas de administração remota podem ser usadas, por quem, em quais circunstâncias, e monitorar constantemente seu uso.
5. Aprimorar governança de resposta a incidentes
Criar ou revisar planos de resposta, definir papéis e responsabilidades, treinar equipes com exercícios práticos e registrar lições aprendidas para atualizações iterativas.
6. Incluir avaliações de comprometimento na rotina de segurança
Em vez de acioná-las apenas após um alerta grave, incorporar avaliações periódicas como parte da estratégia de segurança, especialmente após grandes mudanças de ambiente ou fusões e aquisições.
—
Conclusão: a importância de olhar além do que “apita”
Os resultados das Avaliações de Comprometimento em 2025 reforçam uma mensagem clara: a ausência de alertas não significa ausência de invasores. Muitos dos incidentes mais graves identificados foram, por definição, “silenciosos” – exploravam brechas conhecidas, abusavam de ferramentas legítimas e se beneficiavam de lacunas de visibilidade e de governança.
Investir apenas em mais tecnologia, sem fortalecer processos, monitoramento contínuo e investigação proativa, tende a produzir uma falsa sensação de segurança. Por outro lado, combinar inteligência de ameaças, avaliação independente de comprometimento, gestão disciplinada de vulnerabilidades e planos maduros de resposta a incidentes aumenta drasticamente a capacidade de detectar, conter e aprender com ataques antes que eles causem danos irreversíveis.
Em um cenário em que o cibercrime se industrializa e se profissionaliza, enxergar o que está oculto, e não apenas o que gera alarmes evidentes, passou a ser uma exigência básica para qualquer organização que pretenda manter a continuidade de seus negócios e proteger seus ativos críticos de forma consistente.