O grupo de ransomware The Gentlemen assumiu a primeira posição em número de vítimas no segundo trimestre de 2026, com 300 organizações listadas em seu site de vazamentos, superando o Qilin (289 vítimas), que liderava há quatro trimestres consecutivos, conforme relatório da ReliaQuest publicado no dia 16 de julho. O levantamento registrou um total de 2.252 vítimas no período, queda de 15% ante o trimestre anterior, mas com uma alta de 51% em relação ao mesmo período de 2025.
Estratégia do The Gentlemen e uso de IA
Segundo a ReliaQuest, o crescimento do The Gentlemen foi impulsionado por recrutamento agressivo de afiliados e pelo fornecimento de um kit de intrusão que reduz a barreira de entrada para novos operadores. O grupo utiliza um pipeline de construção de ferramentas acelerado por IA, que permite atualizar os kits dos afiliados em uma escala de tempo que operações concorrentes (baseadas em desenvolvedores humanos) não conseguem igualar. O líder do grupo, apelidado de “hastalamuerte”, anteriormente comandou um grupo afiliado do Qilin chamado ArmCorp e lançou o ‘The Gentlemen’ com um manual que inclui exploração de dispositivos de borda, ferramentas de tunelamento leves para C2 e criptografia SMB em host único.
Deadlock: tecnologia com C2 em blockchain e evasão de EDR
O relatório destaca também o grupo Deadlock, que emergiu em junho de 2026 com 75 vítimas em um único mês, após 11 meses de silêncio. O grupo inova ao armazenar sua infraestrutura de comando e controle (C2) dentro de uma blockchain pública (Polygon), tornando impossível o seu bloqueio por domínios ou IPs. Antes da criptografia, o malware utiliza um driver vulnerável (CVE-2024-51324, CVSS 7.8) para desabilitar completamente as soluções de EDR no nível do kernel, removendo a telemetria que os defensores utilizam para detectar e responder. A técnica, conhecida como BYOVD (Bring Your Own Vulnerable Driver), opera no mesmo nível de privilégio que o próprio EDR.
Declínio de grupos e setores mais afetados
Três grupos dominantes no primeiro trimestre perderam terreno: o Qilin caiu 29% (de 111 para 79 vítimas em junho), o DragonForce recuou 58% (de 65 para 27) e o Coinbase Cartel despencou 91% (de 45 para 4). O setor de serviços profissionais, científicos e técnicos (PSTS) foi o mais visado pelo quinto trimestre consecutivo, com 437 vítimas (32% da atividade). São dos Estados Unidos 49% das vítimas (1.094); outros dois países com volumes elevados de vítimas foram Índia e Tailândia. A ReliaQuest recomenda que empresas monitorem tráfego RPC da blockchain Polygon, apliquem a lista de bloqueio de drivers vulneráveis da Microsoft e fortaleçam a autenticação contra ataques de engenharia social.
