O ransomware Anubis voltou aos holofotes ao reivindicar um ataque contra a Fairlife, subsidiária de laticínios da Coca-Cola, alegando ter comprometido sistemas críticos, criptografado a infraestrutura baseada em Nutanix e roubado aproximadamente 1 TB de dados corporativos. Caso as exigências do grupo não sejam atendidas, os criminosos afirmam que todo o material será publicado na dark web. Até o momento, entretanto, essas alegações não puderam ser verificadas de forma independente.
O incidente amplia a preocupação com ataques direcionados a empresas de manufatura e cadeias de suprimentos, especialmente aquelas que dependem de ambientes altamente virtualizados para manter a produção. Além da interrupção operacional, casos como esse evidenciam como infraestruturas hiperconvergentes, quando comprometidas, podem afetar desde operações industriais até logística, distribuição e continuidade dos negócios.
A Fairlife já havia confirmado anteriormente que sofreu um ataque de ransomware que interrompeu temporariamente a produção em suas instalações nos Estados Unidos, enquanto especialistas em resposta a incidentes iniciaram as investigações. Agora, a reivindicação do grupo Anubis adiciona novos elementos ao caso, incluindo suposto roubo de dados e comprometimento da plataforma de virtualização utilizada pela empresa.
Detalhes do ataque e o comprometimento da infraestrutura Nutanix pelo ransomware Anubis
Segundo informações divulgadas pela própria Coca-Cola em documento regulatório, o incidente afetou sistemas relacionados à produção da Fairlife, obrigando a empresa a suspender temporariamente as operações em suas fábricas norte-americanas.
A companhia informou que detectou acesso não autorizado a parte de seus sistemas e imediatamente ativou seus planos de resposta a incidentes e de continuidade de negócios. Também destacou que a qualidade e a segurança dos produtos não foram comprometidas e que as operações canadenses permaneceram funcionando normalmente.
Poucos dias depois dessa divulgação, o grupo de ransomware Anubis passou a listar a Fairlife em seu portal de vazamentos hospedado na dark web, atribuindo a si a autoria do ataque.
As alegações do grupo Anubis e a extorsiva contagem regressiva
Em sua página de vazamentos, os operadores do grupo de ransomware Anubis afirmam que invadiram a empresa cerca de uma semana antes da divulgação pública do incidente.
Segundo os criminosos, a Fairlife teria ignorado as instruções deixadas durante a invasão e optado por comunicar imediatamente o ataque às autoridades, sem iniciar negociações.
Como forma de pressão, o grupo estabeleceu uma contagem regressiva para divulgação dos dados supostamente roubados, alegando possuir aproximadamente 1 TB de informações corporativas confidenciais, incluindo documentos internos e outros ativos digitais.
É importante destacar que não existem confirmações independentes sobre a autenticidade desse volume de dados ou sobre a efetiva exfiltração das informações. A Coca-Cola também preferiu não comentar especificamente as novas alegações do grupo.
O alvo na infraestrutura: como a virtualização Nutanix foi afetada
Talvez a afirmação mais preocupante feita pelos criminosos seja a de que toda a infraestrutura Nutanix da Fairlife teria sido criptografada.
A Nutanix é uma das plataformas de infraestrutura hiperconvergente (HCI) mais utilizadas por grandes empresas, consolidando virtualização, armazenamento distribuído, rede e gerenciamento centralizado em um único ambiente.
Caso uma infraestrutura desse tipo seja realmente comprometida, o impacto operacional pode ser extremamente elevado, já que dezenas ou centenas de máquinas virtuais podem ficar indisponíveis simultaneamente.
Os operadores do ransomware Anubis chegaram a afirmar que a empresa “não possui qualquer possibilidade de recuperação sem a chave de criptografia” controlada pelo grupo. Essa declaração, entretanto, também permanece sem comprovação independente.
Para administradores de ambientes Linux, Unix, VMware, Nutanix AHV, KVM e outras plataformas de virtualização, o caso reforça a necessidade de proteger não apenas servidores, mas também os componentes responsáveis pela administração do ambiente hiperconvergente.
O perfil da ameaça: o que torna o ransomware Anubis tão perigoso
O Anubis surgiu como uma operação de Ransomware-as-a-Service (RaaS), modelo no qual desenvolvedores fornecem a infraestrutura do malware enquanto afiliados realizam as invasões.
Desde seu surgimento, o grupo passou a atingir organizações de diferentes setores, adotando a conhecida estratégia de dupla extorsão, que combina dois elementos:
- Criptografia dos sistemas, interrompendo operações.
- Roubo de dados, utilizado como mecanismo adicional de pressão.
Esse modelo reduz as chances de recuperação apenas por meio de backups, especialmente quando informações confidenciais já foram copiadas antes da criptografia.
Outro aspecto que aumentou a preocupação da comunidade de segurança foi a evolução do malware para incorporar funcionalidades destrutivas.
Pesquisadores de segurança já documentaram versões do Anubis capazes de utilizar um data wiper, recurso destinado a apagar permanentemente arquivos do sistema, tornando a recuperação praticamente impossível mesmo após eventual pagamento do resgate. Essa estratégia eleva significativamente o nível de risco para organizações que dependem exclusivamente de backups conectados à rede.
Lições de cibersegurança para infraestruturas críticas e enterprise diante do ransomware Anubis
Embora ainda existam pontos sem confirmação pública, o incidente envolvendo a Fairlife oferece importantes lições para equipes de Segurança da Informação, SysAdmins, SREs e administradores de ambientes corporativos.
Entre as principais recomendações estão:
- Implementar hardening em plataformas hiperconvergentes como Nutanix, reduzindo a superfície de ataque.
- Manter backups offline e imutáveis, protegidos contra criptografia por ransomware.
- Segmentar redes administrativas, evitando que invasores alcancem rapidamente ambientes críticos.
- Adotar autenticação multifator (MFA) para consoles administrativas e ferramentas de virtualização.
- Monitorar indicadores de comprometimento por meio de soluções EDR, SIEM e análise contínua de logs.
- Realizar testes periódicos de disaster recovery, garantindo que procedimentos de recuperação funcionem quando realmente necessários.
- Aplicar patches rapidamente em hipervisores, appliances de gerenciamento e sistemas expostos à Internet.
Ataques modernos de ransomware deixaram de mirar apenas estações de trabalho. Hoje, criminosos procuram atingir diretamente controladores de domínio, clusters de virtualização, infraestruturas hiperconvergentes, servidores de backup e demais ativos considerados estratégicos para maximizar o impacto operacional.
O caso da Fairlife demonstra como um único incidente pode interromper linhas de produção, afetar cadeias de suprimentos e gerar forte pressão financeira e reputacional. Independentemente da veracidade de todas as alegações feitas pelo grupo criminoso, o episódio reforça uma realidade conhecida pelos profissionais de segurança: proteger ambientes corporativos exige uma abordagem integrada que combine prevenção, detecção rápida, resposta coordenada e capacidade efetiva de recuperação diante de ataques cada vez mais sofisticados.