DragonForce ransomware: o cartel que derrubou M&S e Co-op

A Marks & Spencer perdeu mais de £500 milhões em valor de mercado depois que alguém ligou para o helpdesk de TI da empresa fingindo ser um funcionário. Nenhum zero-day, nenhum phishing elaborado. Um telefonema, um reset de senha, e dois meses depois os sistemas de e-commerce de uma das maiores redes de varejo do Reino Unido estavam criptografados. Isso é o DragonForce.

Quem é o DragonForce

O DragonForce surgiu em 2023 como um grupo de hacktivistas malaio, mas pivotou rapidamente para ransomware-as-a-service (RaaS), adotando um modelo de afiliados com divisão de até 80% do resgate. Em março de 2025, foi mais longe: relançou a operação como um "cartel de ransomware", permitindo que afiliados criassem suas próprias marcas usando a infraestrutura, o encryptor e as ferramentas do grupo — nome próprio, site de vazamento próprio, identidade visual própria.

O código do encryptor tem linhagem conhecida: parte das rotinas deriva do Conti v3, cujo código-fonte vazou em 2022. Em vez de construir do zero, o grupo adaptou uma base já testada em produção por um dos coletivos de ransomware mais prolíficos da história. Em agosto de 2025, adicionaram um serviço de análise de dados para gerar materiais de extorsão personalizados por vítima, disponível para afiliados que atacam empresas com receita anual acima de US$ 15 milhões.

Até junho de 2026, segundo dados do ransomware.live, o DragonForce já havia listado 563 vítimas em 57 países. Os setores mais afetados são serviços empresariais (111 vítimas), manufatura (97) e tecnologia (58). Os EUA concentram 280 vítimas; o Reino Unido, 40.

A parceria com o Scattered Spider

O ataque à Marks & Spencer não foi executado diretamente pelo núcleo do DragonForce. A intrusão inicial foi atribuída ao Scattered Spider (também chamado de Octo Tempest), um coletivo jovem especializado em engenharia social e acesso inicial, conforme investigação conduzida pela CrowdStrike, Microsoft e Fenix24 a pedido da M&S. A divisão de trabalho é complementar: o Scattered Spider entra e coleta credenciais; o DragonForce fornece o ransomware e executa a extorsão.

O arsenal do Scattered Spider inclui SIM swapping, MFA fatigue e push bombing, e impersonação de equipes de suporte. No caso da M&S, a tática foi mais direta: um operador ligou para o helpdesk terceirizado da empresa — gerenciado pela Tata Consultancy Services (TCS) —, se identificou como funcionário e solicitou um reset de senha. O atendente realizou o reset sem verificação adequada. Isso foi confirmado publicamente pelo próprio chairman da M&S, Archie Norman.

Da ligação ao NTDS.dit

Com as credenciais em mãos, os atacantes entraram na rede em algum momento de fevereiro de 2025. Nos meses seguintes, moveram-se lateralmente usando técnicas de living-off-the-land (LOTL) — PowerShell, WMI e ferramentas administrativas legítimas como PingCastle e Advanced IP Scanner. Nada de malware customizado, nada que disparasse alertas óbvios em um SOC desatento.

O objetivo da fase de reconhecimento foi o NTDS.dit — o banco de dados do Active Directory que armazena os hashes de senha de todos os usuários do domínio. Com ele exfiltrado, os atacantes quebraram os hashes offline com ferramentas como Mimikatz, escalaram para contas privilegiadas e expandiram o controle para toda a infraestrutura. Manter logs de auditoria de PowerShell e eventos do Active Directory ativados é exatamente o tipo de telemetria que permite detectar esse movimento — acesso ao NTDS.dit deve gerar alerta imediato em qualquer SIEM configurado minimamente.

O payload: VMware ESXi como alvo

Em 24 de abril de 2025, os atacantes implantaram o encryptor DragonForce nos servidores VMware ESXi da M&S. A escolha do ESXi é calculada: virtualizar o ataque sobre o hipervisor derruba dezenas de VMs de uma vez — e-commerce, processamento de pagamentos, logística — todos no mesmo hardware físico.

Para contornar proteções de endpoint nos servidores, o grupo usou BYOVD (bring your own vulnerable driver): implantaram drivers legítimos mas vulneráveis — truesight.sys e rentdrv2.sys — que permitem execução de código no kernel, de onde é possível encerrar processos de antivírus e EDR sem acionar alertas de comportamento.

O resultado imediato: a M&S suspendeu os pedidos online por cinco dias. Com uma média de £3,8 milhões por dia em vendas de e-commerce, as perdas diretas só desse período ultrapassaram £19 milhões. As ações da empresa perderam mais de £500 milhões em valor de mercado nas semanas seguintes.

Co-op e Harrods: o efeito cascata

Nas semanas seguintes ao ataque à M&S, o mesmo grupo de operadores mirou a Co-op e os Harrods. No caso da Co-op, o DragonForce confirmou ter extraído dados de ao menos 10 mil clientes, incluindo números de cartão do programa de fidelidade, nomes, endereços residenciais, e-mails e telefones. Os dados foram publicados no site de vazamentos depois que as negociações falharam.

O padrão é conhecido para quem acompanhou o modelo "pay or leak" usado pelo ShinyHunters contra o Canvas LMS. A diferença é que o DragonForce combina extorsão de dados com criptografia de infraestrutura — o que dobra a pressão: a empresa precisa pagar para recuperar os sistemas e para evitar a publicação dos dados, simultaneamente.

O que reduz o risco

O ataque à M&S tem uma lição simples e repetidamente ignorada: o helpdesk é superfície de ataque. Um processo de verificação de identidade antes de qualquer reset de credencial — código enviado para o gestor, retorno para o ramal cadastrado, validação por token de hardware — teria interrompido o ataque antes mesmo de o primeiro byte de dado ser acessado.

• Verificação de identidade no helpdesk: nunca realizar resets de senha por telefone sem segundo fator de validação independente.
• MFA resistente a phishing: FIDO2/passkeys eliminam push bombing e SIM swapping como vetor de entrada.
• Alerta no NTDS.dit: qualquer acesso ou cópia do arquivo de banco de dados do AD deve gerar alerta imediato no SIEM.
• Hardening do ESXi: isolar o hipervisor em VLANs separadas, desativar SSH quando não necessário, restringir acesso por IP.
• Detecção de LOTL: correlacionar uso de Advanced IP Scanner, PingCastle e WMI remoto em contextos fora do padrão operacional.

Em junho de 2026, o DragonForce soma 563 vítimas e o cartel continua recrutando afiliados. O modelo de acesso via engenharia social vai continuar funcionando enquanto o helpdesk seguir sendo tratado como processo administrativo em vez de ponto de controle de segurança — independente de quanto foi gasto em firewall e EDR. Se você gerencia infraestrutura, revise o fluxo de reset de credenciais hoje. Não custa nada e é o controle que poderia ter salvado £500 milhões.