WannaHammer 3.0: O Ransomware que Ameaça Expor Vítimas e Como Recuperar Seus Arquivos
Um novo ransomware, WannaHammer 3.0, está aterrorizando usuários ao criptografar arquivos e ameaçar expor informações pessoais. Descubra como essa ameaça funciona e as ferramentas disponíveis para recuperação de dados.
MundiX News·06 de julho de 2026·7 min de leitura·👁 1 views
Recentemente, a equipe de antivírus da 360 recebeu múltiplos relatos de usuários cujos arquivos de computador foram atacados por um ransomware conhecido como WannaHammer 3.0. Após análise, foi descoberto que este sample imita deliberadamente o estilo de ransomware conhecido em sua interface e interações. Após a infecção, ele criptografa os arquivos do usuário e utiliza um cronômetro, instruções de resgate e áudio vulgar em loop para instilar medo e humilhação, criando uma atmosfera de tensão. O objetivo é ameaçar as vítimas com "morte social" para que contatem os atacantes o mais rápido possível e paguem o resgate em troca de uma "senha de desbloqueio".
Com base no comportamento do sample e em informações conhecidas, as vias de propagação desta família de ransomware podem estar relacionadas a contas de chat roubadas. Os atacantes utilizam contas de mensagens instantâneas como QQ, que foram roubadas, para distribuir o programa malicioso aos contatos. Essa abordagem visa diminuir a vigilância através de relações de confiança, aumentando a taxa de cliques e execução. Esse método de propagação é altamente furtivo, tem amplo alcance e frequentemente está associado a senhas fracas de contas, links de phishing ou golpes secundários.
A análise técnica indica que o WannaHammer 3.0 não emprega esquemas de criptografia modernos e maduros. Seu mecanismo de proteção de arquivos apresenta falhas significativas na seleção de algoritmos, implementação e gerenciamento de chaves, o que o torna incapaz de resistir à engenharia reversa profissional e à recuperação offline. Com base nessas deficiências, a equipe de antivírus da 360 conseguiu restaurar o mecanismo de criptografia e desenvolveu autonomamente uma ferramenta de descriptografia. Esta ferramenta permite a recuperação em massa de arquivos afetados sem depender do programa malicioso, sem a necessidade de pagar aos atacantes ou inserir uma senha na interface.
Análise do Sample
Após a infecção pelo ransomware WannaHammer 3.0, a seguinte interface é exibida no sistema da vítima:
Persistência Falha: Após a execução, o ransomware tenta se registrar nas chaves de inicialização do registro. No entanto, testes realizados por analistas revelaram que, como o processo de criptografia acaba por criptografar o próprio programa de criptografia, a autoinicialização registrada não funciona efetivamente – uma ironia de "ser tão implacável que nem a si mesmo poupa".
Travessia de Arquivos: Ao entrar no código principal da função de criptografia, o ransomware inicia uma travessia recursiva a partir do diretório raiz de cada unidade de disco, procurando por todos os arquivos com o padrão ".", mas pula arquivos que já contêm "#WannaHammer#". Em seguida, o ransomware verifica o tamanho do arquivo e só o criptografa se for menor que 50MB (52428800 Bytes).
Após travar os arquivos a serem criptografados, o ransomware lê os arquivos, criptografa os dados na memória e, finalmente, sobrescreve os arquivos com os dados criptografados. Após a conclusão da criptografia, a extensão ".#WannaHammer#" é adicionada ao nome do arquivo.
Criptografia de Arquivos: A figura abaixo ilustra o fluxo de criptografia de arquivos deste ransomware:
O ransomware utiliza o algoritmo de criptografia DES-ECB para os arquivos no dispositivo. Primeiro, inicializa um buffer de 8 bytes preenchido com zeros e, em seguida, realiza uma operação XOR byte a byte com a senha, gravando a chave em loop.
Posteriormente, o ransomware seleciona 56 bits de cada bloco de 8 bytes (correspondente a 64 bits de dados binários) para uso. Diferente da ordem de seleção de bits fixada oficialmente pelo DES, este software utiliza uma lógica de seleção baseada em índice 0 (0-based), deslocando os bits da chave selecionada. Além disso, a operação de leitura de bits dentro de um único byte é o oposto da ordem de leitura oficial, mudando para uma lógica de leitura do bit menos significativo para o mais significativo.
É precisamente com base nessas modificações que, ao descriptografar, as modificações correspondentes podem ser feitas no algoritmo de descriptografia DES padrão para descriptografar efetivamente os dados criptografados.
Através deste método de criptografia personalizado, o ransomware registra o valor do comprimento original dos dados de 4 bytes (modo little-endian), preenche os dados originais com zeros até que estejam alinhados em blocos de 8 bytes. Finalmente, todos os dados acima são criptografados em blocos de 8 bytes usando DES, resultando nos dados criptografados finais, que são gravados de volta no arquivo original para sobrescrever os dados originais.
Liberação de Informações de Resgate: Após a criptografia dos arquivos, uma janela de informações de resgate como a seguinte é exibida:
O conteúdo da nota de resgate deixada no sistema é o seguinte:
Simultaneamente, arquivos de marcação de tempo (horas, minutos, segundos) e o arquivo de nota de resgate são criados no seguinte diretório:
Em seguida, o ransomware desabilita o Gerenciador de Tarefas do sistema.
O ransomware também modifica o papel de parede da área de trabalho para alertar o usuário de que o dispositivo foi comprometido.
Finalmente, a operação mais "dolorosa" do WannaHammer entra em ação. Ele reproduz um áudio obsceno "18+" de cerca de 1 minuto, cujo conteúdo é desagradável. Este áudio é reproduzido diretamente na memória do sistema por uma thread chamada "waveOut" no código do ransomware, sem que nenhum arquivo de áudio seja gravado no dispositivo da vítima. Isso impede que o usuário localize o áudio, impossibilitando sua interrupção ou exclusão.
Analistas extraíram manualmente esses dados de áudio, cujas informações relevantes são as seguintes:
Rasgando o Bilhete!
Neste aspecto, o ransomware "cumpriu sua palavra". Assim que o cronômetro na janela de resgate termina, ele começa a excluir arquivos. Neste momento, o ransomware chama a função usada anteriormente para encontrar arquivos a serem criptografados, percorre novamente os arquivos do sistema e exclui todos os arquivos que foram criptografados.
Após a exclusão de todos os arquivos, o ransomware exibe uma mensagem informando que todos os arquivos foram excluídos.
Descriptografia de Arquivos para Auxiliar na Recuperação de Dados
Devido às falhas em sua lógica de criptografia, a equipe de antivírus da 360 desenvolveu um descriptografador que pode descriptografar com sucesso os arquivos criptografados por ele. Já ajudamos vários usuários a descriptografar seus arquivos. Usuários que necessitam de descriptografia podem entrar em contato com o atendimento ao cliente para obter serviço de descriptografia gratuito.
Recomendações de Segurança
Diante deste novo tipo de ransomware, a equipe de antivírus da 360 oferece as seguintes recomendações de segurança:
Cuidado com "Entrega por Conhecidos" em Redes Sociais e Phishing de Engenharia Social:
Verificação Cruzada: Ao receber "pacotes de compactação de fotos", "ferramentas de curtidas", "cheats de jogos" ou "programas desconhecidos" enviados por amigos em ferramentas de comunicação como QQ, WeChat, DingTalk, etc., verifique sempre com a pessoa por telefone ou outro canal. Não descompacte ou execute cegamente.
Exibir Extensões de Arquivo Conhecidas: Para evitar que os atacantes enganem os usuários usando extensões duplas como .exe disfarçado de .jpg ou .mp4.
Fortalecer a Consciência de Segurança: Se sua conta apresentar login anormal, login de local diferente ou envio em massa de arquivos para amigos, você deve alterar sua senha imediatamente, ativar a verificação em duas etapas, desconectar sessões suspeitas e notificar seus contatos para não abrirem arquivos recebidos recentemente.
Buscar Recuperação Profissional:
Não pague o resgate facilmente, pois isso geralmente encoraja os atacantes e não garante 100% de recuperação. Tente usar ferramentas de descriptografia dedicadas publicadas por instituições de segurança autorizadas, como a equipe de antivírus da 360, para recuperação segura e sem perdas em massa.
Sem cartão para começar · Planos a partir de R$49/mês
Recentemente, a equipe de antivírus da 360 recebeu múltiplos relatos de usuários cujos arquivos de computador foram atacados por um ransomware conhecido como WannaHammer 3.0. Após análise, foi descoberto que este sample imita deliberadamente o estilo de ransomware conhecido em sua interface e interações. Após a infecção, ele criptografa os arquivos do usuário e utiliza um cronômetro, instruções de resgate e áudio vulgar em loop para instilar medo e humilhação, criando uma atmosfera de tensão. O objetivo é ameaçar as vítimas com "morte social" para que contatem os atacantes o mais rápido possível e paguem o resgate em troca de uma "senha de desbloqueio".
Com base no comportamento do sample e em informações conhecidas, as vias de propagação desta família de ransomware podem estar relacionadas a contas de chat roubadas. Os atacantes utilizam contas de mensagens instantâneas como QQ, que foram roubadas, para distribuir o programa malicioso aos contatos. Essa abordagem visa diminuir a vigilância através de relações de confiança, aumentando a taxa de cliques e execução. Esse método de propagação é altamente furtivo, tem amplo alcance e frequentemente está associado a senhas fracas de contas, links de phishing ou golpes secundários.
A análise técnica indica que o WannaHammer 3.0 não emprega esquemas de criptografia modernos e maduros. Seu mecanismo de proteção de arquivos apresenta falhas significativas na seleção de algoritmos, implementação e gerenciamento de chaves, o que o torna incapaz de resistir à engenharia reversa profissional e à recuperação offline. Com base nessas deficiências, a equipe de antivírus da 360 conseguiu restaurar o mecanismo de criptografia e desenvolveu autonomamente uma ferramenta de descriptografia. Esta ferramenta permite a recuperação em massa de arquivos afetados sem depender do programa malicioso, sem a necessidade de pagar aos atacantes ou inserir uma senha na interface.
Análise do Sample
Após a infecção pelo ransomware WannaHammer 3.0, a seguinte interface é exibida no sistema da vítima:
Persistência Falha: Após a execução, o ransomware tenta se registrar nas chaves de inicialização do registro. No entanto, testes realizados por analistas revelaram que, como o processo de criptografia acaba por criptografar o próprio programa de criptografia, a autoinicialização registrada não funciona efetivamente – uma ironia de "ser tão implacável que nem a si mesmo poupa".
Travessia de Arquivos: Ao entrar no código principal da função de criptografia, o ransomware inicia uma travessia recursiva a partir do diretório raiz de cada unidade de disco, procurando por todos os arquivos com o padrão ".", mas pula arquivos que já contêm "#WannaHammer#". Em seguida, o ransomware verifica o tamanho do arquivo e só o criptografa se for menor que 50MB (52428800 Bytes).
Após travar os arquivos a serem criptografados, o ransomware lê os arquivos, criptografa os dados na memória e, finalmente, sobrescreve os arquivos com os dados criptografados. Após a conclusão da criptografia, a extensão ".#WannaHammer#" é adicionada ao nome do arquivo.
Criptografia de Arquivos: A figura abaixo ilustra o fluxo de criptografia de arquivos deste ransomware:
O ransomware utiliza o algoritmo de criptografia DES-ECB para os arquivos no dispositivo. Primeiro, inicializa um buffer de 8 bytes preenchido com zeros e, em seguida, realiza uma operação XOR byte a byte com a senha, gravando a chave em loop.
Posteriormente, o ransomware seleciona 56 bits de cada bloco de 8 bytes (correspondente a 64 bits de dados binários) para uso. Diferente da ordem de seleção de bits fixada oficialmente pelo DES, este software utiliza uma lógica de seleção baseada em índice 0 (0-based), deslocando os bits da chave selecionada. Além disso, a operação de leitura de bits dentro de um único byte é o oposto da ordem de leitura oficial, mudando para uma lógica de leitura do bit menos significativo para o mais significativo.
É precisamente com base nessas modificações que, ao descriptografar, as modificações correspondentes podem ser feitas no algoritmo de descriptografia DES padrão para descriptografar efetivamente os dados criptografados.
Através deste método de criptografia personalizado, o ransomware registra o valor do comprimento original dos dados de 4 bytes (modo little-endian), preenche os dados originais com zeros até que estejam alinhados em blocos de 8 bytes. Finalmente, todos os dados acima são criptografados em blocos de 8 bytes usando DES, resultando nos dados criptografados finais, que são gravados de volta no arquivo original para sobrescrever os dados originais.
Liberação de Informações de Resgate: Após a criptografia dos arquivos, uma janela de informações de resgate como a seguinte é exibida:
O conteúdo da nota de resgate deixada no sistema é o seguinte:
Simultaneamente, arquivos de marcação de tempo (horas, minutos, segundos) e o arquivo de nota de resgate são criados no seguinte diretório:
Em seguida, o ransomware desabilita o Gerenciador de Tarefas do sistema.
O ransomware também modifica o papel de parede da área de trabalho para alertar o usuário de que o dispositivo foi comprometido.
Finalmente, a operação mais "dolorosa" do WannaHammer entra em ação. Ele reproduz um áudio obsceno "18+" de cerca de 1 minuto, cujo conteúdo é desagradável. Este áudio é reproduzido diretamente na memória do sistema por uma thread chamada "waveOut" no código do ransomware, sem que nenhum arquivo de áudio seja gravado no dispositivo da vítima. Isso impede que o usuário localize o áudio, impossibilitando sua interrupção ou exclusão.
Analistas extraíram manualmente esses dados de áudio, cujas informações relevantes são as seguintes:
Rasgando o Bilhete!
Neste aspecto, o ransomware "cumpriu sua palavra". Assim que o cronômetro na janela de resgate termina, ele começa a excluir arquivos. Neste momento, o ransomware chama a função usada anteriormente para encontrar arquivos a serem criptografados, percorre novamente os arquivos do sistema e exclui todos os arquivos que foram criptografados.
Após a exclusão de todos os arquivos, o ransomware exibe uma mensagem informando que todos os arquivos foram excluídos.
Descriptografia de Arquivos para Auxiliar na Recuperação de Dados
Devido às falhas em sua lógica de criptografia, a equipe de antivírus da 360 desenvolveu um descriptografador que pode descriptografar com sucesso os arquivos criptografados por ele. Já ajudamos vários usuários a descriptografar seus arquivos. Usuários que necessitam de descriptografia podem entrar em contato com o atendimento ao cliente para obter serviço de descriptografia gratuito.
Recomendações de Segurança
Diante deste novo tipo de ransomware, a equipe de antivírus da 360 oferece as seguintes recomendações de segurança:
Cuidado com "Entrega por Conhecidos" em Redes Sociais e Phishing de Engenharia Social:
Verificação Cruzada: Ao receber "pacotes de compactação de fotos", "ferramentas de curtidas", "cheats de jogos" ou "programas desconhecidos" enviados por amigos em ferramentas de comunicação como QQ, WeChat, DingTalk, etc., verifique sempre com a pessoa por telefone ou outro canal. Não descompacte ou execute cegamente.
Exibir Extensões de Arquivo Conhecidas: Para evitar que os atacantes enganem os usuários usando extensões duplas como .exe disfarçado de .jpg ou .mp4.
Fortalecer a Consciência de Segurança: Se sua conta apresentar login anormal, login de local diferente ou envio em massa de arquivos para amigos, você deve alterar sua senha imediatamente, ativar a verificação em duas etapas, desconectar sessões suspeitas e notificar seus contatos para não abrirem arquivos recebidos recentemente.
Buscar Recuperação Profissional:
Não pague o resgate facilmente, pois isso geralmente encoraja os atacantes e não garante 100% de recuperação. Tente usar ferramentas de descriptografia dedicadas publicadas por instituições de segurança autorizadas, como a equipe de antivírus da 360, para recuperação segura e sem perdas em massa.
Divulgação: alguns links são patrocinados. Podemos receber comissão se você comprar — sem custo extra para você. Só indicamos o que faz sentido para a comunidade.
