Cada violação de segurança OT tem um registo na sua cadeia de ataque: O panorama das ameaças a ICS/OT, 2024–2026

Nos últimos dois anos, os ataques contra sistemas de controlo industrial e tecnologia operacional passaram de um risco teórico para uma realidade operacional. Os Estados-nação já não se limitam a preparar-se dentro das infraestruturas críticas. Estão a agir. Os programas de eliminação de dados ultrapassaram o ransomware como a arma preferida dos agentes patrocinados por Estados que têm como alvo os ambientes de tecnologia operacional. Um único padrão liga quase todos os incidentes de maior gravidade: um ficheiro malicioso ultrapassou uma barreira de confiança que ninguém estava a inspecionar.

Este artigo analisa o panorama das ameaças aos sistemas ICS/OT desde 2024 até ao início de 2026, não como um catálogo de nomes de APT e números CVE, mas sim como uma narrativa. Começamos por uma visão geral: o que aconteceu e quando. Em seguida, analisamos quem está por trás disso, como o fizeram e, por fim, analisamos um incidente em pormenor para mostrar como se apresenta, por dentro, um ataque wiper moderno a sistemas ICS.

Números-chave

• Em 2025, 119 grupos de ransomware atacaram ativamente ambientes de TI operacional, o que representa um aumento de 49% em relação aos 80 registados em 2024

• Mais de dois terços de todas as vítimas de ransomware no setor de TI industrial eram fabricantes, o setor mais visado

• O Volt Typhoon operou sem ser detetado na rede OT de uma empresa de eletricidade dos EUA durante mais de 300 dias

• Só entre 2024 e 2025, seis campanhas de ataque visaram sistemas ICS/OT, mais do que em qualquer outro período comparável

Antes de analisar quem está por trás destes ataques ou como funcionam, é útil visualizá-los numa linha do tempo. A tabela abaixo apresenta todos os incidentes significativos relacionados com ICS/OT deste período — classificados por setor, agente malicioso e localização geográfica — para que se possa orientar antes de aprofundar o assunto.

O ritmo está a acelerar. Só em 2025, registaram-se mais campanhas de wiper específicas contra sistemas ICS/OT do que em qualquer ano anterior. A dispersão geográfica alargou-se, ultrapassando o teatro de operações Ucrânia-Rússia e estendendo-se a Estados-Membros da NATO, como a Polónia, à Europa Ocidental, incluindo a Noruega, e ao Médio Oriente, incluindo Israel. A diversidade setorial também se expandiu para além dos setores da energia e da água, abrangendo agora os cuidados de saúde, as telecomunicações e a indústria transformadora.

Estes ataques atingem diferentes países, setores e vítimas — mas todos começam da mesma forma: com um ficheiro que passou despercebido por todos. Basta ativar um só para perceber imediatamente que foi concebido para destruir.

A cronologia acima é densa, mas não é aleatória. Os incidentes concentram-se em torno de um pequeno número de grupos de intervenientes, cada um com motivações, capacidades e alvos preferidos distintos.

Rússia — continua a ser a maior fonte de ameaças ao ICS

Os agentes ligados à Rússia representam a maior parte das atividades dirigidas a sistemas de controlo industrial (ICS) neste período, operando através de vários grupos com funções diferentes.

O Sandworm (ELECTRUM) continua a ser o adversário mais perigoso do mundo especializado em sistemas de controlo industrial (ICS). A sua campanha de dezembro de 2025 contra a rede elétrica da Polónia teve como alvo cerca de 30 instalações de energia distribuída, incluindo centrais de cogeração e sistemas de gestão de energia renovável, como a eólica e a solar. Este foi o primeiro grande ciberataque coordenado a visar recursos de energia distribuída em grande escala.

O malware DynoWiper utilizado nesse ataque era um wiper do Windows PE direcionado contra infraestruturas energéticas. Este apagou máquinas com sistema Windows em instalações de recursos energéticos distribuídos (DER) e inutilizou definitivamente alguns equipamentos de tecnologia operacional (OT) e sistemas de controlo industrial (ICS). Embora não se tenham registado cortes de energia, os atacantes conseguiram aceder a sistemas de tecnologia operacional essenciais para o funcionamento da rede elétrica.

Anteriormente, a sua campanha PathWiper tinha como alvo infraestruturas críticas ucranianas, utilizando um dropper VBScript em conjunto com um wiper PE que destrói o MBR e MFT sobrescreve ficheiros em todas as unidades de disco. Em 2024, lançaram o AcidPour, um wiper ELF para Linux, contra infraestruturas de telecomunicações ucranianas e orquestraram um ataque à cadeia de abastecimento que visava sistemas de energia e de abastecimento de água.

O KAMACITE funciona como a camada de infraestrutura de suporte. Em 2025, este grupo ligado ao GRU foi observado a realizar análises de reconhecimento de alvos industriais nos EUA, o que constitui uma atividade de preparação que, historicamente, antecede as operações destrutivas do ELECTRUM.

China — paciente, profunda e com um âmbito em expansão

A abordagem da China é fundamentalmente diferente da da Rússia. Enquanto os atores russos destroem, os chineses persistem.

Foi confirmado que o VOLTZITE (Volt Typhoon) esteve presente na rede OT de uma empresa de eletricidade dos EUA durante mais de 300 dias, extraindo dados do GIS e configurações do sistema OT. Não se tratou de espionagem por si só. O padrão de posicionamento prévio é consistente com a preparação para uma futura perturbação da infraestrutura elétrica dos EUA.

Em 2025, o agente de acesso inicial SYLVANITE explorou rapidamente vulnerabilidades em dispositivos VPN da Ivanti, equipamentos da F5 e outras infraestruturas de perímetro. Esses pontos de acesso foram então introduzidos no pipeline VOLTZITE para permitir intrusões mais profundas na OT. Os alvos expandiram-se para incluir empresas de eletricidade e de abastecimento de água.

O AZURITE, um grupo recentemente identificado em 2025, representa uma escalada nos ataques dirigidos a redes operacionais (OT) associados à China. O AZURITE tem como alvo ativo estações de trabalho de engenharia de redes operacionais nos setores da indústria transformadora, da defesa e automóvel nos EUA, na Austrália e na Europa. O grupo concentra-se na exfiltração de diagramas de rede, dados de alarmes e configurações de processos.

Irão — ultrapassar os limites e recorrer à violência física

Os agentes apoiados pelo Estado iraniano deram uma viragem decisiva neste período, passando de um acesso oportunista para um ataque deliberado a processos físicos.

O grupo CyberAv3ngers (BAUXITE / IRGC) comprometeu mais de 75 dispositivos em várias instalações de abastecimento de água nos EUA entre 2023 e 2024, incluindo a tomada de controlo direta de um PLC numa estação de reforço na Pensilvânia. O seu malware IOCONTROL, um binário Linux com comando e controlo baseado em MQTT incorporado em pacotes de atualização do firmware dos dispositivos, foi especificamente concebido para comprometer dispositivos OT. Em 2025, o grupo BAUXITE lançou variantes do wiper BlueWipe-SewerGoo contra infraestruturas de energia e armazenamento israelitas.

O PYROXENE (IRGC-CEC, com sobreposição com o APT35) atacou infraestruturas críticas e redes governamentais em Israel e na Albânia em 2025. O grupo utilizou uma combinação de engenharia social e comprometimento da cadeia de abastecimento para distribuir cargas úteis do tipo «wiper» em formato PE.

O Handala representa a linha ténue entre o hacktivismo e a destruição orquestrada pelo Estado. Considerado por várias empresas de inteligência de ameaças como uma fachada para um agente malicioso denominado Void Manticore, patrocinado pelo Ministério da Inteligência e Segurança do Irão, o grupo surgiu no final de 2023 e, desde então, tem levado a cabo operações contínuas de apagamento de dados contra alvos israelitas.

O seu conjunto de ferramentas é tecnicamente sofisticado. Os e-mails de phishing, frequentemente redigidos num hebraico fluente, enviam um instalador do NSIS que executa um script AutoIT para injetar o wiper num processo legítimo do Windows. A carga útil final sobrescreve os ficheiros com dados aleatórios, eleva os privilégios utilizando um controlador vulnerável e extrai informações do sistema através API do Telegram API destruir os dados.

Este instalador tem muitas partes móveis — ficheiros divididos, com nomes falsos, e comandos montados à medida que é executado. Mas cada passo resume-se, na verdade, a mais um ficheiro a ser colocado e executado. A análise do exemplo revela toda a sequência antes de o wiper apagar qualquer coisa.

Em todos estes incidentes, que envolvem diferentes intervenientes, setores e regiões geográficas, revela-se um conjunto consistente de padrões.

Os limpadores tornaram-se a principal ferramenta de destruição

Esta é a tendência mais significativa na atividade de ameaças a sistemas ICS e OT. Só entre 2024 e 2025, pelo menos seis campanhas distintas de wiper visaram ambientes de infraestruturas industriais e críticas: o DynoWiper, que visou o setor energético da Polónia; o PathWiper, que visou infraestruturas críticas ucranianas; o AcidPour, que visou as telecomunicações ucranianas; o BAUXITE ou BlueWipe-SewerGoo, que visou o setor energético israelita; o PYROXENE, que visou o governo e infraestruturas críticas em Israel e na Albânia; e o Handala, que visou o setor da saúde a nível global.

Os programas de limpeza estão a tornar-se cada vez mais direcionados. O DynoWiper foi utilizado especificamente contra infraestruturas energéticas na Polónia, limpando máquinas com Windows em instalações de energia distribuída e inutilizando alguns equipamentos de tecnologia operacional (OT) de forma irrecuperável. O PathWiper destrói o MBR e MFT sobrescrever os ficheiros, tornando a recuperação o mais difícil possível. O AcidPour tem como alvo dispositivos Linux incorporados, limpando volumes UBI e partições Device Mapper utilizadas em equipamentos de tecnologia operacional (OT).

O ataque Stryker da Handala revelou um tipo diferente de evolução. Em vez de lançarem malware personalizado em grande escala, os atacantes abusaram de uma ferramenta legítima de gestão empresarial chamada Microsoft Intune para emitir um comando de apagamento em massa em todos os dispositivos registados simultaneamente. Isto transformou efetivamente a própria infraestrutura da organização numa arma. Não se trata de ferramentas de uso geral adaptadas para a OT. São concebidas ou aproveitadas especificamente para os ambientes que afetam.

O malware específico para sistemas de controlo industrial está a tornar-se cada vez mais sofisticado

O FrostyGoop merece uma atenção especial por se tratar de um marco histórico. Lançado contra o sistema de aquecimento urbano de Lviv em janeiro de 2024, foi o primeiro malware a explorar diretamente o protocolo Modbus TCP num ambiente de produção. Escrito em Go e compilado como um binário PE do Windows, foi introduzido através da rede de engenharia, passando da TI para a OT por meio de uma transferência de ficheiros. O ataque deixou mais de 600 edifícios de apartamentos sem aquecimento durante dois dias, em temperaturas abaixo de zero.

O FrostyGoop é importante porque o Modbus TCP é amplamente utilizado em ambientes industriais em todo o mundo. O malware demonstrou que os atacantes já não se limitam a visar estações de trabalho Windows adjacentes à OT. Atualmente, estão a criar código que comunica diretamente com protocolos industriais.

O objetivo do FrostyGoop está bem claro no código que carrega — as bibliotecas que importa existem com um único propósito: comunicar com controladores industriais

Os padrões observados nos ataques a sistemas ICS e OT apontam para uma realidade consistente: ameaças desconhecidas e evasivas penetram nos ambientes sob a forma de ficheiros, ultrapassam as barreiras de confiança e são executadas antes que as defesas tradicionais consigam reagir. Para travar estes ataques, é necessária tanto uma análise comportamental aprofundada como a capacidade de antecipar intenções maliciosas antes da execução.

MetaDefender é a solução unificada de deteção de ameaças de dia zero OPSWAT, concebida para identificar ameaças desconhecidas e evasivas ocultas em ficheiros. Combina sandboxing adaptativo, inteligência de ameaças, pontuação de ameaças e pesquisa de semelhanças com aprendizagem automática num único fluxo de deteção que fornece um veredicto fiável para cada ficheiro.

Ao executar ficheiros num ambiente emulado, o Aether revela comportamentos ocultos, tais como a lógica do ransomware, a injeção de código, técnicas anti-análise e cargas úteis em várias fases que as ferramentas estáticas não conseguem detetar. Esteja correlaciona estas descobertas com milhares de milhões de indicadores de ameaças para identificar riscos, descobrir variantes e associar a atividade a técnicas conhecidas dos adversários.

Esta abordagem permite às organizações detetar ameaças de dia zero em ficheiros executáveis, scripts, arquivos e ficheiros de correção que não podem ser limpos ou alterados. Além disso, cumpre os requisitos de conformidade em setores regulamentados onde a análise dinâmica é obrigatória e a integridade dos ficheiros deve ser preservada.