Recuperação de Conti (e forks Royal, BlackSuit, Black Basta)
Resposta direta
Conti foi um dos grupos de ransomware mais notórios de 2020 a 2022, com receita estimada acima de US$ 180 milhões. Encerrou operação em maio de 2022 após vazamento massivo de código-fonte ('Conti Leaks'). Membros migraram para forks: Royal (rebranded como BlackSuit em 2024), Black Basta, Quantum e Akira. Há decryptor Conti V3 da Avast/Kaspersky. HD Doctor opera resposta tanto a casos legados Conti quanto aos forks ativos em 2026.
Se o caso parece Conti em 2026, provavelmente é um fork ativo (Royal, BlackSuit, Black Basta, Quantum). Identificação correta da variante define decryptor disponível e SLA.
Conti e seus forks
Conti operou de julho de 2020 a maio de 2022 como uma das maiores RaaS, atacando organizações de saúde (Irish HSE 2021), governo (Costa Rica 2022) e empresas privadas. Após declarar apoio à invasão russa da Ucrânia em fevereiro/2022, um insider vazou todo o código-fonte e chats internos ('Conti Leaks'). O grupo dissolveu, mas membros migraram para forks: Royal (depois BlackSuit), Black Basta, Quantum, Akira e outros. Conti deixou herança técnica massiva: mesma arquitetura modular, padrões de extorsão e ferramentas (Cobalt Strike, AnyDesk, Atera).
Sintomas de infecção por Conti / forks
- Conti clássico: extensão .conti, nota 'CONTI_README.txt' ou 'R3ADM3.txt'
- Royal/BlackSuit: extensão .royal ou .blacksuit, nota 'README.TXT'
- Black Basta: extensão .basta, nota 'instructions_read_me.txt'
- Quantum: extensão variada, nota 'README_TO_DECRYPT.html'
- Cobalt Strike Beacon, Mimikatz, AnyDesk, Atera (kit comum Conti)
- Logs do AD com BloodHound, Rubeus (kerberoasting)
Vetores de ataque comuns (Conti e forks)
| Causa | % | Recuperável? |
|---|---|---|
| Phishing com Qakbot ou IcedID | 35% | Treinamento + restore |
| RDP exposto sem MFA | 25% | Hardening + restore |
| VPN sem MFA (Fortinet, Pulse Secure) | 18% | MFA + restore |
| Compromisso de Initial Access Broker | 12% | Forense da entrada |
| Phishing direcionado (spear) | 7% | Treinamento + restore |
| Outros / não identificado | 3% | Análise caso a caso |
Distribuição baseada em CISA AA22-035A (Conti) e AA23-061A (Royal).
O que NÃO fazer ao identificar Conti / forks
- 1.Não tente decryptor genérico sem identificar variante. Conti V3 (Avast) só funciona para variante específica. Royal e Black Basta exigem ferramentas diferentes. Identificação é o primeiro passo.
- 2.Não ignore exfiltração. Conti e todos os forks exfiltram antes de cifrar. Notificação ANPD obrigatória em 72h.
- 3.Não confie em chat 'amistoso' do operador. Conti era conhecido por chats prolongados e até 'desconto' negociado. Histórico interno (Conti Leaks) mostra que entrega de chave era falha mesmo após pagamento em ~25% dos casos.
- 4.Não reinstale o AD imediatamente. DCs comprometidos contêm artefatos forenses críticos: tickets Kerberos, contas com privilégio elevado, persistência via Group Policy.
- 5.Não reuse backup sem análise. Conti frequentemente compromete o backup ANTES da cifragem. Veeam Backup & Replication com permissão local elevada é alvo.
Processo HD Doctor para resposta Conti / forks
Resposta técnica para Conti legado e forks ativos.
- 1
Triagem e contenção (0 a 6h)
Identificação da variante exata (Conti V3 vs Royal vs BlackSuit vs Black Basta vs Quantum), isolamento, snapshots, captura de RAM nos DCs.
- 2
Forense AD e endpoint (6 a 48h)
Análise de DCs (BloodHound, Rubeus, Mimikatz), endpoint (Cobalt Strike, Qakbot/IcedID), timeline, exfiltração via Mega.nz ou rclone.
- 3
Tentativa de decryptor (24 a 72h)
Conti V3: tentativa com decryptor Avast/Kaspersky. Royal/BlackSuit/Black Basta: sem decryptor público em 2026. Identificação correta define elegibilidade.
- 4
Restore corporativo (5 a 30 dias)
Restore Veeam/Commvault de AD, file servers, SQL, Exchange. Reconstrução de Active Directory quando comprometimento profundo (golden ticket). Granular SQL/Oracle.
- 5
Hardening e laudo (10 a 30 dias)
Reset KRBTGT (2x), revisão de privilégios elevados, EDR (CrowdStrike/SentinelOne), backup imutável, MFA universal. Laudo ANPD + judicial.
SLA típico para resposta Conti / forks
| Cenário | Prazo |
|---|---|
| Triagem e contenção | 0 a 6h |
| Forense AD + endpoint | 48 a 96h (caso complexo) |
| Decryptor Conti V3 | 24 a 48h após confirmação |
| Restore Veeam de AD + servidores | 10 a 25 dias úteis |
| Reconstrução AD pós-golden-ticket | 15 a 45 dias úteis |
| Laudo técnico final | 20 a 45 dias úteis |
- Comprometimento profundo de AD frequentemente exige reconstrução completa do domínio.
Sistemas afetados (Conti e forks)
| Família | Suporte | Notas |
|---|---|---|
| Active Directory (Server 2012R2-2022) | ✅ Reconstrução completa | Reset KRBTGT 2x, revisão de OU/GPO |
| Microsoft Exchange | ✅ Restore Veeam + patch | Recuperação de mailboxes |
| SQL Server / Oracle | ✅ Restore granular | Bases corrompidas |
| VMware ESXi (Royal/Black Basta-Linux) | ✅ Snapshot + restore | Forks atacam ESXi |
| Veeam Backup & Replication | ✅ Restore + análise | Verificação de comprometimento prévio |
Por que HD Doctor para resposta Conti / forks
- 🏛️Casos reais documentados de Conti, Royal, BlackSuit e Black Basta com playbook por variante.
- ⚡Resposta 24×7 em até 6h com engenheiro AD/Exchange/VMware direto.
- 🔓Base atualizada de decryptor Conti V3 (Avast/Kaspersky) para variantes elegíveis.
- 💾Reconstrução completa de Active Directory pós-golden-ticket.
- 📋Laudo pericial para ANPD em até 72h e uso judicial corporativo.
Perguntas frequentes sobre Conti / forks
Conti ainda está ativo em 2026?
Não. Conti dissolveu em maio de 2022 após o vazamento Conti Leaks. Operações em 2026 com características similares são forks: Royal (depois rebranded BlackSuit em 2024), Black Basta, Quantum, Akira e outros que herdaram código-base, ferramentas e afiliados.
Existe decryptor para Conti?
Sim, parcialmente. Conti V3 tem decryptor publicado pela Avast e Kaspersky para amostras específicas obtidas pós-leaks. Royal/BlackSuit/Black Basta/Quantum não têm decryptor público em 2026. Identificar a variante exata é crítico.
Royal e BlackSuit são a mesma operação?
Sim. Royal operou de 2022 a 2024 e foi rebranded como BlackSuit em meados de 2024, conforme alerta CISA AA23-061A (atualizado). Mesmo binário base, mesmos afiliados, foco em educação, saúde e governo nos EUA, Europa e LATAM.
Por que reconstrução de AD pode ser necessária?
Conti e forks frequentemente obtêm golden ticket (controle total do AD via comprometimento de conta KRBTGT). Quando isso acontece, qualquer credencial pré-incidente está comprometida permanentemente. Reconstrução do domínio (com migração planejada de contas e serviços) é a única forma de garantir confiança.
Quanto tempo até retomar operação após Conti / fork?
Cenário com backup Veeam imutável e AD intacto: 7 a 15 dias para 80% das operações. Cenário com golden ticket no AD: 30 a 60 dias por exigência de reconstrução. Cenário sem backup limpo: 60 a 120 dias dependendo da complexidade.
Sob ataque Conti, Royal, BlackSuit ou Black Basta?
Identificação correta da variante define decryptor disponível. Resposta 24×7.