O que aconteceu?
O Instituto Federal Alemão para a Segurança da Informação (BSI) confirmou, através do Mastodon, que a campanha de ataque "TerminalFix" foi o ponto de entrada para o ciberataque às administrações do Senado de Berlim. Foram afetadas as Secretarias do Senado para Desenvolvimento Urbano, Construção e Habitação, bem como para Mobilidade, Trânsito, Meio Ambiente e Proteção Climática. O ataque veio a público em meados de agosto de 2026 e resultou num vazamento massivo de dados, incluindo informações em parte críticas. Segundo reportagens da revista Spiegel, por trás do ataque está o conhecido grupo de ransomware Rhysida.
Os detalhes
A cronologia do incidente revela a dimensão da crise: já entre 7 e 12 de agosto de 2026 os dados foram extraídos pelos atacantes, embora o ataque propriamente dito tenha começado bem antes. Em 14 de agosto, as secretarias afetadas foram isoladas da rede estadual, e três dias depois a Chancelaria do Senado informou publicamente sobre um "incidente de TIC na rede estadual de Berlim", estabelecendo uma equipe de crise de emergência. A Polícia Federal Alemã (BKA) e a Polícia Criminal estadual (LKA) iniciaram investigações.
As consequências também foram sentidas pelos cidadãos: em 21 de agosto surgiram problemas com o pagamento de benefícios sociais, impedindo o pagamento de auxílio-moradia a 50.000 famílias elegíveis em Berlim. Somente em 24 de agosto todas as partes da administração do Senado voltaram a estar online. Em 28 de agosto confirmou-se que os atacantes haviam roubado dados e feito uma exigência de resgate — o prefeito-governador Kai Wegner declarou que o Estado de Berlim não se deixaria extorquir. No site do Rhysida na dark web surgiu uma exigência de 30 bitcoins, equivalente a cerca de 2 milhões de euros, acompanhada de supostos extratos de dados, incluindo listas de senhas em texto simples, documentos judiciais e mais de 46.500 contratos do Estado.
Em 4 de setembro, os criminosos finalmente publicaram cerca de 1,44 milhões de arquivos na dark web, incluindo documentos de pessoal, dados sobre processos disciplinares, documentos financeiros e detalhes sobre a infraestrutura crítica de Berlim. Em 5 de setembro, o BSI alertou para uma "situação de ameaça elevada" para a sociedade.
Funcionamento técnico do TerminalFix
De acordo com a Microsoft, o TerminalFix é uma variante da campanha de malware "ClickFix", já conhecida desde fevereiro de 2026. Os usuários são induzidos a abrir o Terminal do Windows — em vez da combinação de teclas [Windows]+[R], usada pelo ClickFix, o TerminalFix utiliza o caminho [Windows]+[X] seguido de [I] para acesso direto ao PowerShell.
Através do PowerShell é executado um comando malicioso, que o próprio usuário precisa colar a partir da área de transferência. Ele chega lá porque um site manipulado o copiou automaticamente via JavaScript. Esses sites simulam um falso captcha do Cloudflare — uma peça de engenharia social que explora o fato de que captchas reais do Cloudflare já exigem diferentes ações do usuário, fazendo com que entradas de teclado incomuns não chamem atenção imediatamente.
O comando executado baixa, em segundo plano, via script, o primeiro malware, enquanto o site manipulado distrai o usuário com o falso captcha. Nesse processo, é utilizado de forma indevida, entre outros, o arquivo assinado e originalmente inofensivo do Windows "LockScreenContentServer.exe", para instalar via sideloading o arquivo "dui70.dll". Este, por sua vez, baixa arquivos de imagem PNG nos quais, por meio de esteganografia, estão ocultos outros programas maliciosos.
O malware se estabelece então permanentemente através de chaves de registro, verifica seu próprio status a cada hora e aguarda novos comandos dos atacantes. Além disso, é configurado um proxy SOCKS, que fornece aos atacantes um túnel para a rede da organização afetada. Arquivos e diretórios são ocultados no Windows Explorer para dificultar a detecção.
Análise
Particularmente grave: nas autoridades de Berlim, as senhas aparentemente eram mantidas em texto simples, o que, segundo o relatório, facilitou bastante a ação do Rhysida. Como exatamente os atacantes conseguiram acesso a praticamente todos os dados de ambas as secretarias do Senado ainda permanece sem explicação.
Administrações públicas são consideradas alvos particularmente vulneráveis, já que nomes, endereços de e-mail e estruturas de pessoal frequentemente estão, em parte, disponíveis publicamente — um terreno fértil ideal para engenharia social. Tais ataques também são chamados de "water-holing", pois os sites manipulados são colocados onde as vítimas costumam estar presentes, por exemplo, através de e-mails de phishing, links em redes sociais ou postagens em fóruns. Mesmo que uma tentativa só seja bem-sucedida após muitas tentativas, o esforço compensa diante da exigência de resgate de cerca de 2 milhões de euros.
O BSI também faz referência a um prestador de serviços externo não identificado, segundo o qual o Rhysida, em 92% dos casos em que ameaça a publicação, de fato cumpre essa ameaça. O grupo concentra-se principalmente nos setores de saúde e educação, mas administrações públicas também figuram entre os cinco tipos de alvos mais citados.
Alerta sobre danos subsequentes
O porta-voz do CCC (Chaos Computer Club), Joachim Selzer, já havia alertado em 30 de agosto sobre possível roubo de identidade e novas tentativas de fraude. Cidadãos cujos dados pessoais possam estar incluídos no conjunto de dados publicado também são facilmente vítimas de tentativas de extorsão.
Dicas práticas
- Os colaboradores devem ser treinados para questionar criticamente solicitações suspeitas de uso do Terminal, PowerShell ou da caixa de diálogo Executar — especialmente quando surgem no contexto de um captcha ou de uma verificação.
- Senhas não podem, de forma alguma, ser armazenadas em texto simples; o uso de gerenciadores de senhas com criptografia é obrigatório.
- A verificação regular de entradas de registro e de tráfego de rede incomum (como conexões de proxy SOCKS) pode ajudar a detectar precocemente malware persistente.
- Como arquivos assinados e legítimos do Windows podem ser indevidamente utilizados para sideloading, são recomendadas soluções de Endpoint Detection que também monitorem o comportamento de software assinado.
- Autoridades e organizações devem, em caso de emergência, isolar seus sistemas de forma consistente — como ocorreu em Berlim — e comunicar de forma transparente, tanto externa quanto internamente.
Perspectivas
O Estado de Berlim já estabeleceu uma "unidade de coordenação" por meio da qual as pessoas afetadas pelo vazamento devem ser contatadas por e-mail e carta. Ao mesmo tempo, segundo a Secretaria do Senado, está em curso uma verificação de todos os cerca de 12.000 sistemas do Estado "24 horas por dia". Como exatamente os atacantes conseguiram acessar praticamente todos os dados das duas administrações ainda é objeto das investigações da BKA e da LKA. O esclarecimento desse ponto deverá ser decisivo para determinar como ataques semelhantes a outras autoridades poderão ser evitados no futuro. Diante da "situação de ameaça elevada" declarada pelo BSI, é de se esperar que mais detalhes sobre o incidente, bem como sobre as atividades do Rhysida, venham a público.
