# Exitium Ransomware > [!critical] Novo grupo de ransomware-as-a-service surgido em março de 2026 que já atacou alvos no Brasil - incluindo a agroindústria Marborges - operando modelo de dupla extorsão via site de vazamento na rede Tor. ## Visão Geral O Exitium Ransomware é um grupo de ransomware-as-a-service (RaaS) identificado pela primeira vez em março de 2026. Opera no modelo de dupla extorsão — exfiltra dados antes da criptografia e ameaça publicá-los em site de vazamento na rede Tor. Em seu primeiro mês de operação, já registrou vítimas em dois países, incluindo a empresa brasileira **Marborges Agroindustria** (setor agroindustrial). O grupo utiliza o aplicativo de mensagens Tox para comunicação com vítimas durante negociações de resgate, padrão comum entre operadores RaaS modernos que preferem plataformas descentralizadas. Apesar do surgimento recente, a capacidade operacional demonstrada sugere operadores com experiência prévia em ecossistemas de ransomware. ## Descrição Exitium é um grupo de ransomware-as-a-service (RaaS) de surgimento recentíssimo, identificado pela primeira vez em março de 2026. Classificado como operador de dupla extorsão - modelo no qual os dados das vítimas são exfiltrados antes da criptografia e depois utilizados como alavanca de negociação -, o grupo mantém um site de vazamento na rede Tor e utiliza o aplicativo de mensagens Tox para comunicação com as vítimas durante as negociações de resgate. Apesar de seu perfil ainda em construção, o Exitium já demonstrou capacidade operacional ao reivindicar dois ataques documentados em seu primeiro mês de atividade. A primeira vítima confirmada foi o Fannin CAD, entidade governamental norte-americana, com 400 GB de dados exfiltrados em 17 de março de 2026. A segunda vítima de destaque foi a **Marborges Agroindustria**, empresa brasileira do setor agroindustrial, com incidente reportado em 23 de março de 2026 - demonstrando interesse direto em alvos latino-americanos desde o início das operações do grupo. O modelo operacional segue o padrão RaaS moderno: exfiltração de dados confidenciais, criptografia dos sistemas da vítima, e ameaça de públicação dos dados no site Tor caso o resgate não seja pago. As negociações ocorrem via canal Tox, plataforma de comunicação descentralizada preferida por grupos de ransomware por sua natureza resistente à interceptação. A infraestrutura de vazamento utiliza domínio `.onion` na rede Tor, dificultando takedowns por autoridades. Dado o surgimento recentíssimo do grupo, detalhes técnicos aprofundados sobre os vetores de acesso inicial, ferramentas utilizadas e métodologia de criptografia ainda estão sendo investigados pela comunidade de segurança. O baixo volume de vítimas confirmadas sugere que o grupo pode estar em fase de estruturação ou realizando seleção criteriosa de alvos de alto valor, o que é consistente com grupos RaaS que priorizam qualidade sobre volume nos estágios iniciais. ## Técnicas Utilizadas - [[t1486-data-encrypted-for-impact|T1486 - Data Encrypted for Impact]] - criptografia dos sistemas das vítimas para extorsão - [[t1048-exfiltration-over-alternative-protocol|T1048 - Exfiltration Over Alternative Protocol]] - exfiltração de dados antes da criptografia (dupla extorsão) - [[t1566-phishing|T1566 - Phishing]] - vetor de acesso inicial mais provável (padrão RaaS, não confirmado específicamente para Exitium) - [[t1078-valid-accounts|T1078 - Valid Accounts]] - possível uso de credenciais comprometidas via infostealers para acesso inicial - [[t1219-remote-access-software|T1219 - Remote Access Software]] - provável uso de acesso remoto pós-comprometimento ## Grupos que Usam O Exitium opera como grupo autônomo, sem evidências de rebranding de grupo anterior ou uso por outros atores externos. O grupo parece ser operado por um núcleo pequeno, sem estrutura ampla de afiliados documentada até o momento. Classificado como "data broker" por plataformas de rastreamento de ransomware. ## Detecção **Monitoramento de dark web e inteligência de ameaças:** Integrar feeds de ransomware.live e plataformas como DeXpose para monitorar reivindicações do grupo Exitium. O site Tor do grupo deve ser monitorado para identificação de novas vítimas brasileiras ou LATAM antes da divulgação pública. **Indicadores de comprometimento:** O Tox ID `0932023CDBDC780B80B4772D22975C9AAD6D1A5921AA4C746C9E4851A307DE1888A6F56FDFBE` pode ser usado como IOC para bloqueio preventivo em plataformas que suportam identificadores Tox. Endereços de C2 e domínios associados ao grupo devem ser integrados em SIEM/XDR conforme forem públicados por pesquisadores. **Postura preventiva:** Dado o padrão de grupos RaaS emergentes utilizarem credenciais comprometidas via infostealers para acesso inicial, implementar monitoramento de credenciais vazadas para o domínio organizacional é prioritário. Validar integridade de backups offline e imutáveis regularmente, considerando que a criptografia de backups acessíveis é tática padrão de grupos de ransomware. **Resposta rápida para setores em risco:** Para organizações do setor [[agribusiness|agroindustrial]] e [[government|governamental]] brasileiro, revisar controles de acesso remoto (RDP, VPNs) e implementar autenticação multifator imediatamente, pois o ataque à Marborges demonstra interesse específico nestes setores no Brasil. ## Relevância LATAM/Brasil O ataque à Marborges Agroindustria em março de 2026 posiciona o Exitium como ameaça direta e documentada ao Brasil desde seu primeiro mês de operação. O setor [[agribusiness|agroindustrial]] brasileiro, pilar da economia nacional com exportações que superam USD 130 bilhões anuais, representa alvo de alto valor para grupos de ransomware que buscam vítimas com capacidade de pagamento e pressão operacional para negociar rapidamente. Este ataque confirma que grupos RaaS emergentes incluem o Brasil em seu escopo de atuação desde o início, reforçando a necessidade de maturidade de segurança nas empresas do agronegócio nacional e alinhamento com frameworks como a [[lgpd|LGPD]], que exige notificação de incidentes de vazamento de dados. ## Referências - [WatchGuard - Exitium Ransomware Tracker](https://www.watchguard.com/wgrd-security-hub/ransomware-tracker/exitium) - [DeXpose - Exitium Targets Marborges Agroindustria](https://www.dexpose.io/exitium-ransomware-targets-brazilian-agroindustry-giant-marborges/) - [Red Packet Security - Exitium Victim: Marborges](https://www.redpacketsecurity.com/exitium-ransomware-victim-marborges-agroindustria/) - [Ransomware.live - Exitium Group](http://www.ransomware.live/group/exitium) - [HookPhish - Exitium Hits Fannin CAD](https://www.hookphish.com/blog/ransomware-group-exitium-hits-fannin-cad/)