Botnet

Pesquisadores de cibersegurança identificaram uma nova família de botnets chamada Evooo1Bot, que utiliza o código-fonte do Mirai como base. Essa botnet é capaz de transformar dispositivos expostos à internet em proxies SOCKS, aumentando a capacidade de ataque dos cibercriminosos. Desde julho de 2026, a Evooo1Bot tem explorado vulnerabilidades conhecidas em dispositivos acessíveis publicamente, como roteadores e câmeras IP, utilizando uma série de CVEs, incluindo falhas em produtos da Alcatel, NETGEAR e D-Link. O malware não apenas reutiliza o mecanismo de DDoS do Mirai, mas também adiciona funcionalidades como comunicação C2 criptografada, um scanner de força bruta SSH e um módulo de captura de credenciais. Após a infecção, o bot se conecta a um servidor de comando e controle, permitindo que os atacantes executem uma variedade de comandos, desde ataques DDoS até a interceptação de credenciais. A capacidade de transformar dispositivos em proxies SOCKS5 aumenta significativamente o valor dos hosts infectados, permitindo que os atacantes ocultem suas atividades maliciosas e acessem redes internas. Essa nova ameaça representa um risco significativo, especialmente para dispositivos IoT, que frequentemente possuem segurança fraca.

O Evooo1Bot, um novo malware baseado no Mirai, tem como alvo dispositivos de gateway expostos à internet, transformando-os em nós de retransmissão de tráfego SOCKS5. Desde julho, o malware tem atacado dispositivos de marcas como Alcatel, NETGEAR, Tenda, Mitsubishi Electric, Telesquare e D-Link, explorando vulnerabilidades conhecidas. Além de atuar como um proxy, o Evooo1Bot é capaz de roubar credenciais, realizar ataques de força bruta via SSH e lançar ataques de negação de serviço distribuída (DDoS).

Pesquisadores de cibersegurança da Palo Alto Networks descobriram uma nova versão do botnet Kimwolf/AISURU, chamada Kimwolf v7, que apresenta melhorias significativas para aumentar sua resiliência operacional e realizar ataques de negação de serviço distribuído (DDoS). Esta versão, identificada em fevereiro de 2026, utiliza um ataque de inundação DDoS baseado em HTTP/2, que constrói impressões digitais de navegador completas, dificultando a distinção entre o tráfego de ataque e a navegação legítima. Além disso, o Kimwolf v7 implementa uma infraestrutura de comando e controle (C2) mais resistente, utilizando o Ethereum Name Service (ENS) para obter endereços C2 e um serviço oculto Tor .onion. A remoção de módulos de varredura e exploração indica uma separação entre a propagação e a carga útil principal, com um carregador externo assumindo a responsabilidade pela entrada inicial. O botnet tem como alvo caixas de TV Android e dispositivos IoT baseados em Linux, abusando de serviços de proxy residenciais para instalar malware. A evolução do Kimwolf destaca a necessidade de as organizações tratarem dispositivos como caixas de TV Android como não confiáveis e a importância de desativar o ADB para mitigar riscos.

Um novo relatório da Bitsight revela que caixas de TV Android de baixo custo estão sendo utilizadas para fraudes publicitárias e como nós de botnet. A operação, chamada Fuyao, foi atribuída à Zhejiang Fengwo IoT Technology Co., Ltd., uma empresa chinesa. Os dispositivos, ao serem ativados por um sinal HDMI, redirecionam o tráfego de internet dos usuários, funcionando como um nó de saída SOCKS5, enquanto aguardam tarefas de fraude publicitária. A pesquisa identificou que cerca de 38 mil endereços MAC únicos estavam envolvidos, com um potencial de receita diária estimada em $47.500. A operação utiliza tecnologia de visão computacional para detectar anúncios e automatizar fraudes. Embora a empresa tenha sido identificada como responsável, não há confirmação sobre como os aplicativos foram instalados nos dispositivos. A recomendação para os usuários é verificar a certificação Play Protect e desconectar dispositivos suspeitos da rede. A situação levanta preocupações sobre a segurança de dispositivos IoT e a necessidade de vigilância constante sobre a integridade dos dispositivos conectados à internet.

Um novo botnet chamado Tengu, derivado do Mirai, foi identificado como uma ameaça significativa à segurança de dispositivos Linux. O Tengu utiliza um mecanismo de watchdog de hardware para reiniciar um dispositivo comprometido sempre que seu processo principal é encerrado, permitindo que ele se reinicie e evite a detecção. Observações da Nozomi Networks Labs revelaram que o Tengu alcança dispositivos por meio de ataques de força bruta em credenciais Telnet. Com suporte para 25 métodos de ataque de negação de serviço distribuída (DDoS), o malware também pode executar comandos shell, coletar dados de sistema e rede, e atualizar suas próprias definições. Além disso, o Tengu possui uma lista codificada de utilitários de reinicialização e desligamento, que pode interferir nas tentativas de recuperação dos administradores. A análise não identificou vítimas específicas ou a extensão da propagação do Tengu, mas recomendações incluem a remoção da exposição à internet para serviços administrativos desnecessários e a atualização de firmware. A complexidade e os mecanismos de persistência do Tengu o destacam entre outras variantes do Mirai, tornando-o uma preocupação crescente para a segurança cibernética.

A botnet chamada Dysphoria comprometeu cerca de 200 mil dispositivos em todo o mundo, utilizando-os para ataques de negação de serviço distribuído (DDoS) e operações de retransmissão de tráfego. Pesquisadores da QiAnXin XLab identificaram que a Dysphoria evoluiu de malwares anteriores, como ‘jackskid’ e ‘fbot’, incorporando um mecanismo de controle de comando e controle (C2) baseado em blockchain. A botnet utiliza domínios Ethereum ENS e Solana SNS para recuperar informações de infraestrutura, enquanto os endereços C2 estão ocultos em strings IPv6 falsas. Desde sua primeira detecção em 25 de março, a Dysphoria passou por várias atualizações, mostrando uma resiliência notável. A botnet se espalha através de credenciais fracas de Telnet e SSH, além de vulnerabilidades conhecidas em dispositivos IoT. Entre as falhas mais recentes exploradas estão CVE-2025-55182 e CVE-2025-34152. A capacidade máxima de DDoS da botnet é de 4 Tbps, o que, embora inferior ao recorde de 31,4 Tbps, ainda pode causar interrupções significativas. Para se proteger, recomenda-se manter o firmware atualizado e reforçar as configurações de segurança.

A botnet Dysphoria, monitorada pelo CNCERT e XLab, emergiu após uma operação policial contra a infraestrutura do JackSkid, adotando serviços de nome baseados em blockchain e relés de dispositivos infectados. Com mais de 200.000 bots, a botnet apresenta um design que dificulta sua interrupção. Entre 14 e 20 de julho, foram registrados 4.401 dispositivos ativos na China e um pico de 239.000 bots no exterior. A análise revela que a Dysphoria utiliza credenciais fracas de Telnet e SSH, além de falhas conhecidas em dispositivos IoT, como a CVE-2025-9528, para se espalhar. O uso de serviços de nome Ethereum (ENS) e Solana (SNS) para controle e comando (C2) torna a botnet mais resiliente a ações de desativação. Embora a Dysphoria ataque alvos de serviços de internet e jogos quase diariamente, não foram divulgados detalhes sobre as vítimas ou picos de ataque. A falta de dados independentes sobre a escala da botnet e a metodologia de contagem levanta questões sobre a precisão das informações apresentadas. Defensores são aconselhados a atualizar dispositivos IoT expostos e eliminar credenciais fracas para mitigar riscos.

Um ator de ameaça russo conhecido como ‘bandcampro’ está utilizando a inteligência artificial (IA) do Google Gemini CLI para realizar atividades cibernéticas, incluindo a criação de uma botnet e a execução de fraudes. A análise de 200 logs de sessões do Gemini CLI revelou que o ator utilizou a IA para quebrar senhas, configurar proxies residenciais e comprometer comerciantes do WordPress. A operação de comando e controle (C&C) do ‘bandcampro’ é compacta, consistindo em apenas três arquivos de texto, o que a torna facilmente replicável. A IA não apenas ajudou na migração do servidor C&C, mas também propôs melhorias sem ser solicitada. Além disso, o ator abusou da IA para gerenciar a botnet, enviar comandos em linguagem natural e realizar tarefas de exploração de credenciais. A facilidade de uso da IA permite que indivíduos com pouco conhecimento técnico realizem operações complexas, aumentando o risco de novos serviços de malware impulsionados por IA. A capacidade de replicar rapidamente a infraestrutura C&C torna as ações de desmantelamento menos eficazes, complicando os esforços de atribuição e resposta a incidentes.

Em julho de 2026, a botnet NadMesh, desenvolvida em Go, emergiu com o objetivo de explorar serviços de inteligência artificial expostos. De acordo com dados do operador, a botnet já capturou 3.811 chaves da AWS, utilizando um painel que apresenta números contraditórios sobre suas operações. A botnet se concentra em serviços como ComfyUI, Ollama, n8n, Open WebUI, Langflow e Gradio, que são frequentemente utilizados por equipes que priorizam a implementação rápida em detrimento da segurança. A pesquisa da QiAnXin’s XLab revelou que a botnet não busca apenas o host, mas sim as credenciais de nuvem e privilégios de clusters Kubernetes. O tráfego de exploração observado indica que a maioria dos ataques se dirige a APIs Docker e consoles Jenkins, com uma significativa quantidade de tentativas de exploração em senhas fracas de Telnet e Redis. A botnet é projetada para persistir, dificultando sua remoção, e as recomendações incluem proteger serviços expostos com autenticação e removê-los da internet pública. O artigo destaca a necessidade urgente de ações corretivas para mitigar os riscos associados a essa nova ameaça.

Pesquisadores da Intuit, Technion e da Universidade de Tel Aviv alertam que ferramentas de inteligência artificial, como GitHub Copilot e OpenClaw, podem ser exploradas para criar botnets massivas. O método, denominado HalluSquatting, se baseia na incapacidade dos modelos de linguagem (LLMs) de identificar recursos com precisão, permitindo que atacantes registrem recursos mal nomeados e insiram comandos maliciosos. Essa técnica combina ataques de ‘pull’, onde um prompt malicioso é inserido em um site, com ataques de ‘push’, que envolvem injeção de código. Os pesquisadores demonstraram que, ao registrar recursos que um LLM pode confundir, é possível executar código remotamente em larga escala. Embora existam algumas medidas de mitigação, como o bloqueio de operações de busca por parte dos desenvolvedores de LLMs, a implementação dessas soluções pode levar tempo e requer colaboração entre diferentes partes. O aumento do malware baseado em LLMs, como o ataque JADEPUFFER, que é um ransomware totalmente operado por um LLM, destaca a urgência da situação.

Um ator de ameaça de língua russa, conhecido como ‘bandcampro’, utilizou a ferramenta de IA de código aberto Gemini CLI do Google como agente de hacking, operando uma botnet em pequena escala. Entre 19 de maio e 21 de abril, o ator interagiu com a IA em mais de 200 sessões, controlando oito sistemas em uma clínica dental e acessando o banco de dados OpenDental. O agente de IA atuou como um ’testador de penetração autorizado’, salvando credenciais automaticamente e gerenciando a infraestrutura de comando e controle (C2) com um playbook que incluía operações padrão e códigos de infecção. A migração da botnet para uma nova infraestrutura C2 foi realizada em apenas seis minutos, com a IA diagnosticando problemas de tráfego e gerenciando a reconexão dos bots. Apesar de sua configuração leve, a botnet não utilizou técnicas sofisticadas de evasão. Além disso, o ator usou a IA para adivinhação de senhas e análise de dumps do 1Password. A pesquisa da Trend Micro destaca a capacidade da IA em automatizar operações de ataque, levantando preocupações sobre o uso de tecnologias de IA em cibercrimes.

Pesquisadores de cibersegurança revelaram detalhes sobre uma nova estrutura de botnet chamada TuxBot v3 Evolution, que parece ter sido desenvolvida com a ajuda de um modelo de linguagem grande (LLM). Apesar da assistência da IA, o código gerado apresenta falhas funcionais. O TuxBot é composto por um agente bot em C, um servidor de comando e controle (C2) em Go, e uma infraestrutura de testes baseada em Docker. O agente bot utiliza 1.496 pares de credenciais para realizar ataques de força bruta via Telnet e explora mais de 30 famílias de dispositivos IoT com vulnerabilidades conhecidas. A comunicação com o servidor C2 é feita através de um canal TCP criptografado, utilizando um algoritmo de geração de domínio (DGA) e protocolos P2P. O framework é modular e tem raízes em botnets conhecidas como Mirai e AISURU. Embora ainda em desenvolvimento, o TuxBot já apresenta funcionalidades que podem ser potencialmente perigosas, como a capacidade de realizar ataques DDoS e manter persistência em dispositivos comprometidos. A descoberta do TuxBot destaca a crescente integração de inteligência artificial em ferramentas de cibercrime, o que pode acelerar a evolução de ameaças no espaço IoT.

Quatro pacotes npm na namespace @asyncapi foram comprometidos e estão distribuindo um loader de botnet multiestágio, conforme relatado por OX Security, SafeDep, Socket e StepSecurity. Os pacotes afetados incluem @asyncapi/generator-helpers@1.1.1, @asyncapi/generator-components@0.7.1, @asyncapi/generator@3.3.1 e @asyncapi/specs (v6.11.2, v6.11.2-alpha.1). O ataque utiliza um payload ofuscado que baixa um segundo payload criptografado, identificado como Miasma, a partir do IPFS. O código malicioso é executado quando o módulo infectado é carregado pelo Node.js, ativando um processo em segundo plano que baixa e executa o malware. O loader, chamado ‘sync.js’, contém um framework de tarefas e um grande blob criptografado. O Miasma permite roubo de credenciais, contaminação de ferramentas de IA e propagação em repositórios como npm e PyPI. Além disso, possui mecanismos de persistência e um ‘dead man’s switch’ que apaga diretórios se um token roubado for revogado. Os pacotes maliciosos foram removidos do registro npm, mas qualquer endpoint que os utilizou deve ser considerado potencialmente comprometido.

Pesquisadores de cibersegurança revelaram a atuação de um novo ator de ameaças, denominado Lurking Lizard, que opera um negócio de proxies residenciais maliciosos. Desde agosto de 2022, o grupo tem utilizado mais de 230 domínios semelhantes para recrutar dispositivos comprometidos como nós de proxy. Uma das campanhas observadas envolveu a distribuição de um instalador trojanizado do 7-Zip, hospedado em um domínio que imitava o original. O Lurking Lizard também se faz passar por provedores de proxy renomados e utiliza sites de revisão falsos para direcionar tráfego para suas plataformas fraudulentas. A análise sugere que o grupo é baseado na China e emprega técnicas como o ‘drop-catching’, adquirindo domínios expirados para herdar sua legitimidade. Além disso, a infraestrutura utilizada para a campanha do 7-Zip também serve para distribuir instaladores falsos de outros aplicativos populares. O impacto dessa operação é significativo, pois pode transformar dispositivos comuns em parte de uma botnet, expondo os usuários a riscos de segurança e possíveis ações maliciosas. A situação é agravada pelo fato de que a Google recentemente desmantelou outra rede de proxies residenciais, destacando a gravidade do problema.

Um novo tipo de ataque cibernético, denominado HalluSquatting, explora as falhas de assistentes de programação baseados em inteligência artificial (IA) que frequentemente geram informações fictícias. Pesquisadores descobriram que, ao registrar nomes de projetos que a IA tende a inventar, os atacantes podem induzir o assistente a buscar e executar códigos maliciosos. O ataque combina duas características da IA: a ‘alucinação’, onde a IA cria informações falsas, e a ‘injeção de prompt’, que manipula a IA para seguir instruções do atacante. O processo começa com o atacante identificando um recurso popular, repetindo solicitações à IA até que ela produza um nome falso, que é então registrado. Quando um usuário legítimo solicita o recurso, a IA pode acabar puxando a versão maliciosa. Este método é particularmente perigoso, pois não requer senhas ou exploração de rede, tornando-o difícil de detectar por firewalls. O estudo, realizado por pesquisadores de universidades israelenses, destaca a necessidade urgente de melhorias na segurança desses assistentes, como a verificação de nomes antes da execução de comandos. A pesquisa sugere que a combinação de nomes inventados, marketplaces abertos e a capacidade da IA de executar comandos cria um novo vetor de ataque que pode afetar uma ampla gama de dispositivos e sistemas operacionais.

Uma operação coordenada envolvendo o Google e outras entidades, como o FBI, resultou na desarticulação da NetNut, uma rede de proxies residenciais que controlava milhões de dispositivos Android comprometidos, incluindo TVs inteligentes e caixas de streaming. Conhecida também como Popa, a botnet NetNut permitia que cibercriminosos ocultassem suas atividades maliciosas utilizando endereços IP residenciais legítimos. Estima-se que a rede seja composta por pelo menos dois milhões de dispositivos infectados, que se tornaram parte da botnet após serem contaminados por malware, seja pré-instalado ou baixado por meio de aplicativos maliciosos. A operação resultou na apreensão de domínios utilizados pela NetNut e na desativação de contas e serviços que os operadores da botnet utilizavam para controle de malware. O Google também implementou medidas de proteção para alertar usuários e desativar aplicativos infectados. A desarticulação da NetNut pode ter um impacto significativo na indústria de proxies, uma vez que muitos serviços populares dependem dessa rede. O Google já havia realizado ações semelhantes anteriormente, visando desmantelar botnets de proxies residenciais.

O Google, em colaboração com o FBI e outras entidades, anunciou a degradação significativa da NetNut, uma das maiores redes que transforma dispositivos residenciais em proxies alugados para tráfego de terceiros. A NetNut, também conhecida como Popa, é uma rede global que abrange pelo menos 2 milhões de dispositivos, incluindo TVs inteligentes e caixas de streaming. Quando um dispositivo da NetNut está em uma residência, criminosos podem redirecionar seu tráfego pela conexão de internet do usuário, comprometendo sua privacidade e segurança. A rede opera através da venda de acesso a endereços IP residenciais, permitindo que atacantes ocultem sua localização real. A empresa por trás da NetNut, a Alarum Technologies, nega a classificação de botnet, alegando que seu software é para compartilhamento de largura de banda consentido. No entanto, pesquisas indicam que os aplicativos associados não informam os usuários sobre esse consentimento. O Google alerta que a degradação da NetNut não é um desmantelamento definitivo, pois a rede possui um programa de revenda que permite que outras empresas comercializem o mesmo pool de dispositivos, tornando a situação complexa e resiliente. Para os consumidores, recomenda-se cautela ao usar aplicativos que prometem pagamento por largura de banda não utilizada e a compra de dispositivos de marcas conhecidas.

Uma nova família de malware chamada RustDuck está comprometendo roteadores domésticos, câmeras IP, caixas Android e servidores mal protegidos, formando uma botnet destinada a realizar ataques de negação de serviço distribuída (DDoS). Pesquisadores da QiAnXin’s XLab monitoram essa ameaça desde fevereiro de 2026, destacando sua rápida evolução e a complexidade de suas técnicas de evasão. RustDuck se espalha por meio de senhas fracas, bugs não corrigidos e vulnerabilidades conhecidas em dispositivos, como CVE-2017-17215 e CVE-2025-29635. O malware é notável por ser reescrito em Rust, o que dificulta a análise e a desativação. Ele opera em duas etapas, começando com um carregador que descompacta um módulo central mais robusto. Além disso, RustDuck realiza verificações para evitar ser detectado em ambientes de pesquisa, utilizando criptografia avançada para suas comunicações. Embora atualmente seja uma botnet pequena, sua capacidade de adaptação e as técnicas que está testando podem representar uma ameaça crescente no futuro. Para mitigar os riscos, recomenda-se desativar interfaces de gerenciamento remoto, corrigir vulnerabilidades conhecidas e monitorar indicadores técnicos associados ao malware.

O Serviço Canadense de Inteligência de Segurança (CSIS) obteve autorização judicial para neutralizar duas botnets operadas por estrangeiros que estavam infectando servidores e dispositivos IoT no Canadá. A decisão, divulgada em 15 de junho de 2026, marca a primeira vez que o CSIS utiliza suas novas capacidades de redução de ameaças para agir diretamente em dispositivos infectados. O juiz Catherine Kane concedeu o mandado em 1º de maio de 2024, permitindo que o CSIS alterasse e destruísse dados das botnets em equipamentos como roteadores e câmeras de segurança. A operação foi justificada pela iminente ameaça à segurança do Canadá, com foco em dispositivos e não em usuários. A corte destacou que a operação visava proteger a infraestrutura crítica do país, especialmente no setor energético. Embora a decisão tenha identificado a presença de adversários estrangeiros, não revelou suas identidades. A abordagem do CSIS se assemelha a operações anteriores do FBI nos EUA, que também realizaram limpezas de botnets, mas com diferenças nas autoridades legais. O artigo ressalta a importância da manutenção de equipamentos de rede, já que muitos ataques exploram dispositivos negligenciados e desatualizados.

O malware botnet AryStinger, recentemente descoberto, já comprometeu mais de 4.000 roteadores desatualizados, transformando-os em proxies para tráfego malicioso. Pesquisadores do XLab, da Qianxin, revelaram que o malware permite que dispositivos infectados atuem como ’executores’ controlados remotamente, realizando atividades como escaneamento, proxy, tunelamento e execução de comandos. Essa abordagem distribuída permite que atacantes dividam tarefas massivas em partes menores, aumentando a eficiência de operações de intrusão. Além de usar roteadores comprometidos para operações maliciosas, o AryStinger pode alterar configurações de DNS, sequestrando a navegação do usuário e monitorando silenciosamente o tráfego de rede. O malware explora vulnerabilidades antigas, como CVE-2013-3307 e CVE-2016-5681, visando principalmente modelos de roteadores D-Link. A pesquisa indica que a maioria das infecções está concentrada na Coreia do Sul, seguida pela China e Suécia. Os especialistas alertam que proprietários de roteadores obsoletos devem substituí-los por modelos novos e aplicar atualizações de firmware para mitigar riscos.

Pesquisadores de cibersegurança alertam sobre a resurgência da botnet JDY, uma rede clandestina associada a atores de ameaças patrocinados pelo Estado chinês. Composta por mais de 1.500 dispositivos de pequenas empresas e IoT, a JDY atua como um scanner de alto desempenho, mapeando serviços expostos na internet. Inicialmente identificada como parte da KV-botnet em dezembro de 2023, a JDY evoluiu para uma rede independente após a desativação da KV-botnet pelo governo dos EUA em 2024. A botnet é utilizada para realizar reconhecimento direcionado e identificação de infraestruturas vulneráveis, especialmente após divulgações públicas de falhas. A diversidade dos dispositivos comprometidos, que agora inclui marcas como Ubiquiti e Linksys, permite que os operadores evitem detecções tradicionais. A arquitetura da JDY utiliza nós Tor para gerenciar a infraestrutura infectada, facilitando a coleta de dados de reconhecimento. O malware é projetado para se adaptar ao ambiente local, utilizando diferentes métodos de varredura dependendo das permissões disponíveis. A expansão da JDY e suas operações contínuas demonstram a resiliência das redes de reconhecimento modernas, que persistem mesmo após intervenções governamentais.

Uma nova variante do botnet Gafgyt, chamada C0XMO, está direcionando ataques a roteadores com firmware DD-WRT e pode se espalhar para outros dispositivos com diferentes arquiteturas de CPU, como ARM, MIPS e x86. Pesquisadores da Fortinet identificaram que o malware é capaz de realizar ataques de negação de serviço distribuído (DDoS) utilizando 19 métodos distintos, incluindo inundações UDP e TCP, além de amplificação via NTP e Memcached. A infecção ocorre por meio da exploração da vulnerabilidade CVE-2021-27137, que permite a execução de código arbitrário sem autenticação. O C0XMO possui um design modular que facilita atualizações e a adição de novas técnicas de exploração. Após a infecção, o malware se oculta em diretórios temporários e cria tarefas agendadas para reiniciar a cada 15 minutos. Além disso, ele busca eliminar concorrentes no dispositivo infectado, removendo outros clientes de botnets e ferramentas que possam interferir em sua operação. A recomendação para mitigar os riscos associados ao C0XMO inclui manter dispositivos atualizados, usar credenciais únicas e desabilitar o acesso remoto quando não necessário. Este botnet representa uma evolução em relação a variantes anteriores, com uma arquitetura mais sofisticada e complexa.

As autoridades da Holanda anunciaram a desativação de uma botnet que controlava milhões de dispositivos infectados, incluindo computadores, tablets, smartphones e dispositivos IoT. A operação, realizada pela Polícia Holandesa e pelo Centro Nacional de Segurança Cibernética (NCSC), revelou que a rede bot consistia em pelo menos 17 milhões de dispositivos comprometidos, com mais de 200 servidores na Holanda servindo como infraestrutura de backend. Embora o nome da botnet não tenha sido explicitamente divulgado, fontes locais indicam que a Asocks, uma empresa que oferece proxies residenciais, estava envolvida. Em abril de 2024, a equipe de inteligência de ameaças da HUMAN identificou uma campanha chamada PROXYLIB, que utilizava dispositivos Android infectados com software de proxy da LumiApps e Asocks. A NCSC alertou que dispositivos podem ser incorporados a uma botnet quando acessíveis a atacantes, que podem instalar malware para controle remoto. Para mitigar esses riscos, recomenda-se manter sistemas operacionais atualizados, usar senhas fortes e habilitar autenticação de dois fatores. Essa situação destaca a necessidade de vigilância constante e práticas de segurança robustas para proteger dispositivos conectados à internet.

As autoridades holandesas desmantelaram uma botnet composta por 17 milhões de dispositivos, apreendendo mais de 200 servidores de um provedor local que apoiava suas operações. A ação foi resultado de uma investigação conjunta da polícia e do Centro Nacional de Segurança Cibernética (NCSC) do país. Os servidores apreendidos eram responsáveis por controlar computadores, tablets e smartphones para realizar ciberataques, como ataques de negação de serviço distribuídos (DDoS) e mineração de criptomoedas. Embora a botnet não tenha sido nomeada oficialmente, a mídia local sugere que ela estava associada ao serviço Asocks, que oferece proxies para atividades online. A NCSC destacou que os proprietários dos dispositivos infectados não estavam cientes de que estavam contribuindo para atividades criminosas. Para prevenir infecções por botnets, as autoridades recomendam a alteração de credenciais padrão, a atualização do firmware e a desativação de painéis de administração remota quando não forem necessários.

A botnet Glassworm, que visava desenvolvedores em ataques à cadeia de suprimentos de software, foi desmantelada após uma operação coordenada entre CrowdStrike, Google e a Shadowserver Foundation. Desde outubro de 2025, a Glassworm utilizava extensões maliciosas do OpenVSX e do Microsoft VS Code para roubar carteiras de criptomoedas e credenciais de desenvolvedores. As campanhas se expandiram para repositórios do GitHub e pacotes npm, afetando mais de 400 artefatos de software em uma única onda de ataques. A infraestrutura de comando e controle (C2) da botnet era resistente, utilizando transações da blockchain Solana e a rede DHT do BitTorrent, o que dificultava sua desativação. Os pesquisadores destacaram que a combinação de canais de comunicação não tradicionais permitiu que a botnet sobrevivesse por tanto tempo. Para desmantelar a Glassworm, foi necessário interromper quatro canais C2 simultaneamente, o que impediu que máquinas infectadas recebessem novas instruções. Após a operação, máquinas comprometidas começaram a se conectar a um endereço IP controlado pela CrowdStrike, e organizações foram alertadas a tomar medidas imediatas de remediação.

Jacob Butler, um canadense de 23 anos, foi preso em Ottawa sob um mandado de extradição, acusado de operar a botnet KimWolf, que infectou quase dois milhões de dispositivos em todo o mundo. Segundo documentos judiciais, Butler utilizava um modelo de ‘cibercrime como serviço’ para vender acesso a uma vasta rede de sistemas comprometidos, que incluíam desde câmeras de segurança até dispositivos de streaming. A KimWolf foi responsável por mais de 25 mil ataques DDoS, causando perdas financeiras superiores a um milhão de dólares para algumas vítimas. O ataque mais significativo registrado alcançou quase 30 terabits por segundo, tornando-se um dos maiores ataques DDoS já divulgados. Além disso, as autoridades dos EUA também desmantelaram 45 plataformas de DDoS-for-hire, interrompendo operações que colaboravam com a KimWolf. A prisão de Butler é parte de uma operação internacional que visa combater o cibercrime e proteger a infraestrutura digital.

O Departamento de Justiça dos EUA anunciou a prisão de Jacob Butler, um canadense de 23 anos, acusado de operar a botnet Kimwolf, uma variante do AISURU. Essa botnet foi projetada para infectar dispositivos normalmente protegidos por firewalls, como câmeras e molduras digitais, e utilizava um modelo de ‘cibercrime como serviço’ para vender acesso a esses dispositivos a outros criminosos. Os dispositivos infectados eram forçados a participar de ataques DDoS, que visavam servidores em todo o mundo, incluindo endereços IP da rede de informações do Departamento de Defesa dos EUA. Butler foi identificado através de registros de IP e mensagens em plataformas como Discord. A operação de desmantelamento da Kimwolf ocorreu em colaboração com autoridades canadenses e alemãs, resultando na interrupção de sua infraestrutura de comando e controle. A botnet é responsável por mais de 25.000 comandos de ataque e por alguns dos maiores ataques DDoS já registrados, com picos de tráfego de 31,4 Terabits por segundo. Butler enfrenta até 10 anos de prisão se condenado por intrusão de computador.

Pesquisadores de cibersegurança identificaram quatro novos pacotes npm que contêm malware projetado para roubar informações. Um dos pacotes, chamado ‘chalk-tempalte’, é uma cópia do worm Shai-Hulud, que foi vazado recentemente. Os pacotes foram publicados por um usuário identificado como ‘deadcode09284814’ e, embora todos contenham cargas maliciosas, suas funcionalidades variam. O pacote ‘axois-utils’ é destinado a criar um botnet de negação de serviço distribuído (DDoS) chamado Phantom Bot, capaz de inundar sites com tráfego. Os outros três pacotes, incluindo ‘chalk-tempalte’, são projetados para extrair credenciais como chaves SSH, variáveis de ambiente e dados de carteiras de criptomoedas. Os pesquisadores alertam que esses ataques estão se tornando mais comuns, especialmente com a disponibilização do código do Shai-Hulud como open source. Os usuários que baixaram esses pacotes devem desinstalá-los imediatamente e tomar medidas para proteger suas credenciais e sistemas. Até o momento, os pacotes ainda estão disponíveis para download no npm.

O grupo de hackers russo Secret Blizzard aprimorou seu malware Kazuar, transformando-o em uma botnet modular de peer-to-peer (P2P) com foco em persistência a longo prazo, furtividade e coleta de dados. Associado ao serviço de inteligência russo (FSB), o Secret Blizzard tem como alvo organizações governamentais, diplomáticas e sistemas críticos na Europa, Ásia e Ucrânia. Desde 2017, o Kazuar tem sido utilizado em ataques, com uma variante recente operando com três módulos distintos: kernel, bridge e worker. O módulo Kernel coordena as tarefas e controla a comunicação entre os sistemas infectados, enquanto o módulo Bridge atua como um proxy de comunicação externo. O Worker realiza operações de espionagem, como captura de telas e coleta de dados do sistema. A versatilidade do Kazuar é destacada, com 150 opções de configuração que permitem aos operadores ajustar a coleta de dados e contornar medidas de segurança. A Microsoft recomenda que as empresas priorizem a detecção comportamental em vez de assinaturas estáticas, dada a natureza evasiva do malware.

O grupo de hackers russo Turla, vinculado ao serviço de segurança FSB, atualizou seu backdoor Kazuar, transformando-o em uma botnet modular e peer-to-peer (P2P) projetada para acesso furtivo e persistente a sistemas comprometidos. Essa evolução, conforme relatado pela Microsoft, visa garantir acesso de longo prazo para coleta de inteligência, especialmente em setores governamentais e de defesa na Europa e na Ásia Central.

O Kazuar agora possui uma arquitetura modular composta por três tipos de módulos: o Kernel, que coordena as atividades da botnet; o Bridge, que atua como um proxy entre o Kernel e o servidor de comando e controle (C2); e o Worker, responsável por coletar dados e executar tarefas. Essa estrutura modular permite uma configuração flexível e reduz a visibilidade das operações, aumentando a eficácia do malware.

Pesquisadores de cibersegurança revelaram a existência de uma nova botnet chamada xlabs_v1, derivada do Mirai, que se especializa em atacar dispositivos expostos à Internet que utilizam o Android Debug Bridge (ADB). A descoberta foi feita pela Hunt.io, que identificou um diretório exposto em um servidor na Holanda. A botnet é capaz de realizar ataques de negação de serviço distribuído (DDoS) e oferece 21 variantes de ataque, utilizando protocolos TCP, UDP e outros. O foco principal são dispositivos Android, como caixas de TV e roteadores, que têm o ADB habilitado por padrão. Além disso, a botnet é projetada para coletar informações sobre a largura de banda dos dispositivos comprometidos, permitindo que o operador classifique os dispositivos em diferentes faixas de preço para serviços de DDoS. A operação é considerada de médio porte, mais sofisticada que versões anteriores do Mirai, mas ainda assim acessível a criminosos. A situação é alarmante, especialmente para o setor de jogos, que já foi alvo de ataques semelhantes. A Hunt.io recomenda que operadores de servidores de jogos implementem medidas de mitigação adequadas para se proteger contra esses ataques.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu quatro novas vulnerabilidades em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV), afetando o software SimpleHelp, o servidor Samsung MagicINFO 9 e os roteadores D-Link DIR-823X. As falhas, que apresentam pontuações CVSS variando de 7.2 a 9.9, permitem que atacantes escalem privilégios, executem comandos arbitrários e realizem uploads de arquivos maliciosos. A vulnerabilidade CVE-2024-57726, por exemplo, permite que técnicos com baixos privilégios criem chaves de API com permissões excessivas, enquanto a CVE-2024-57728 possibilita o upload de arquivos em locais não autorizados, potencialmente executando código malicioso. Além disso, a CVE-2024-7399 no Samsung MagicINFO 9 Server e a CVE-2025-29635 nos roteadores D-Link também foram identificadas como vetores de ataque ativos, com ligações a campanhas de ransomware e botnets, como a Mirai. A CISA recomenda que as agências federais apliquem correções ou descontinuem o uso dos dispositivos afetados até 8 de maio de 2026 para mitigar os riscos.

Um novo relatório da Qrator Labs revela que a maior botnet já registrada cresceu de 1,33 milhão para 13,5 milhões de dispositivos infectados em apenas um ano, um aumento alarmante de dez vezes. A maioria dos dispositivos comprometidos está localizada nos Estados Unidos, Brasil e Índia, dificultando a eficácia de bloqueios baseados em país. Um dos ataques DDoS mais significativos, com pico de 2Tbps, ocorreu no primeiro trimestre de 2026, visando uma organização do setor de apostas e durou mais de 40 minutos, com múltiplos picos de intensidade. Os pesquisadores notaram uma mudança nas táticas dos atacantes, que agora utilizam métodos multi-vetoriais, combinando tráfego de rede e de aplicação. Além disso, um novo loader de botnet, conhecido como Aeternum C2, utiliza a blockchain Polygon para suas operações, tornando a desativação mais complexa. O aumento de tráfego automatizado e ataques prolongados, como um que durou mais de duas semanas contra um alvo de e-commerce, também foram observados, destacando a evolução das ameaças cibernéticas.

O Centro Nacional de Segurança Cibernética do Reino Unido (NCSC-UK) e parceiros internacionais alertaram que hackers associados à China estão utilizando redes de proxy em larga escala formadas por dispositivos de consumo sequestrados para evitar detecções e disfarçar suas atividades maliciosas. O aviso conjunto, assinado por agências de países como EUA, Austrália e Canadá, destaca que muitos grupos de hackers chineses mudaram de infraestrutura individual para vastas botnets compostas principalmente por roteadores de pequenas empresas e residências, além de câmeras conectadas à internet e dispositivos de armazenamento em rede (NAS). Essas botnets permitem que os atacantes redirecionem o tráfego através de dispositivos comprometidos, dificultando a detecção geográfica. Um exemplo é a botnet Raptor Train, que infectou mais de 260 mil dispositivos em 2024 e foi associada ao grupo de hackers Flax Typhoon, apoiado pelo estado chinês. O FBI conseguiu interromper essa botnet, mas os hackers continuam a reviver redes como a KV-Botnet, que utiliza roteadores vulneráveis. As agências de inteligência ocidentais alertam que as defesas tradicionais estão se tornando menos eficazes e recomendam a implementação de autenticação multifatorial e monitoramento dinâmico de ameaças.

O grupo de ransomware conhecido como The Gentlemen, que opera sob o modelo de ransomware-as-a-service (RaaS), está utilizando um malware proxy chamado SystemBC para expandir suas operações. De acordo com a pesquisa da Check Point, o servidor de comando e controle (C2) associado ao SystemBC revelou uma botnet com mais de 1.570 vítimas em todo o mundo. O SystemBC estabelece túneis de rede SOCKS5 e pode baixar e executar malware adicional, complicando a defesa das vítimas. Desde sua aparição em julho de 2025, The Gentlemen já reivindicou mais de 320 vítimas em seu site de vazamento de dados, utilizando um modelo de dupla extorsão. As táticas do grupo incluem o uso de objetos de política de grupo (GPOs) para comprometer domínios inteiros e a desativação de ferramentas de segurança como o Windows Defender. A pesquisa também destaca que a velocidade dos ataques está aumentando, com a maioria das tentativas ocorrendo durante a noite e nos fins de semana, visando maximizar o impacto antes que as defesas possam reagir. O cenário atual de ransomware é caracterizado por uma evolução para operações mais disciplinadas e especializadas, com um aumento significativo nos ataques a pequenas e médias empresas e setores críticos.

Uma botnet de malware proxy chamada SystemBC, composta por mais de 1.570 hosts, foi descoberta após investigações relacionadas a um ataque de ransomware conhecido como Gentlemen. Este ransomware, que surgiu em meados de 2025, utiliza um serviço de ransomware como serviço (RaaS) e é capaz de criptografar sistemas Windows, Linux, NAS e BSD, além de hipervisores ESXi. A Check Point, responsável pela investigação, identificou que a maioria das vítimas está localizada nos Estados Unidos, Reino Unido, Alemanha, Austrália e Romênia, com um foco claro em ambientes corporativos.

Pesquisas recentes da Fortinet e Palo Alto Networks revelam que atores de ameaças estão explorando falhas de segurança em dispositivos TBK DVR e roteadores TP-Link fora de suporte para implantar variantes da botnet Mirai. A vulnerabilidade CVE-2024-3721, que afeta modelos de DVR, permite a injeção de comandos e a instalação de um malware chamado Nexcorium. Este malware é projetado para persistir e realizar ataques de negação de serviço (DDoS). Além disso, a CVE-2023-33538, que impacta roteadores TP-Link, também está sendo alvo de tentativas de exploração, embora com abordagens falhas. Os dispositivos afetados, como o TL-WR940N e TL-WR841N, não recebem mais suporte, o que aumenta o risco para os usuários. Especialistas alertam que a combinação de credenciais padrão e vulnerabilidades conhecidas torna os dispositivos IoT alvos fáceis para ataques. A recomendação é que os usuários substituam esses dispositivos por modelos mais novos e seguros.

Pesquisadores de cibersegurança alertaram sobre uma campanha maliciosa ativa que visa a força de trabalho na República Tcheca, utilizando uma botnet inédita chamada PowMix desde dezembro de 2025. O PowMix se destaca por empregar intervalos de beaconing aleatórios para evitar detecções de assinatura de rede, utilizando URLs que imitam APIs REST legítimas. O ataque se inicia com um arquivo ZIP malicioso, provavelmente entregue por e-mail de phishing, que ativa uma cadeia de infecção em múltiplas etapas. Essa cadeia envolve um atalho do Windows que inicia um loader PowerShell, extraindo e executando o malware na memória.

Pesquisadores de cibersegurança revelaram a existência de uma botnet chamada Masjesu, que tem sido utilizada para ataques de negação de serviço distribuída (DDoS) desde 2023. Anunciada como um serviço de DDoS sob demanda no Telegram, a Masjesu se destaca por sua capacidade de atingir uma variedade de dispositivos IoT, como roteadores e câmeras, evitando endereços IP bloqueados para garantir sua sobrevivência a longo prazo. O malware utiliza criptografia baseada em XOR para ocultar dados e comandos, e já foi associado a um operador conhecido como ‘synmaestro’.

Uma campanha de cibersegurança tem como alvo instâncias expostas do ComfyUI, uma plataforma popular de difusão estável, para integrá-las em uma botnet de mineração de criptomoedas e proxy. Um scanner em Python varre continuamente os principais intervalos de IP na nuvem em busca de alvos vulneráveis, instalando automaticamente nós maliciosos via ComfyUI-Manager. A exploração se baseia em uma má configuração que permite a execução remota de código em implantações não autenticadas. Após a exploração bem-sucedida, os hosts comprometidos são utilizados para minerar Monero e Conflux, além de serem integrados a uma botnet chamada Hysteria V2. A pesquisa da Censys revelou mais de 1.000 instâncias do ComfyUI acessíveis publicamente, o que é suficiente para que agentes de ameaça realizem campanhas oportunistas. O ataque utiliza scripts que exploram nós personalizados do ComfyUI, permitindo a execução de código arbitrário sem autenticação. A persistência do malware é garantida por mecanismos que reinstalam o código a cada inicialização do ComfyUI, além de técnicas para ocultar a atividade maliciosa. Este incidente destaca a necessidade de vigilância contínua e medidas de segurança robustas para proteger serviços expostos na nuvem.

O Departamento de Justiça dos EUA anunciou a condenação de Ilya Angelov, um cidadão russo de 40 anos, a dois anos de prisão e uma multa de $100.000 por gerenciar uma botnet utilizada em ataques de ransomware contra empresas americanas. Angelov, que operava sob os pseudônimos ‘milan’ e ‘okart’, co-gerenciou o grupo cibercriminoso TA551 entre 2017 e 2021. O grupo foi responsável por construir uma rede de computadores comprometidos através da distribuição de arquivos maliciosos anexados a e-mails de spam. Os ataques visavam revender o acesso a esses computadores para outros grupos criminosos, resultando em extorsões que ultrapassaram $14 milhões. A colaboração de Angelov com outros grupos, como o BitPaymer e o IcedID, destaca a complexidade e a sofisticação das operações de ransomware. O caso ressalta a crescente ameaça de cibercrime, especialmente para empresas que podem ser alvos de tais ataques, e a necessidade de medidas de segurança robustas.

Ilya Angelov, um cidadão russo de 40 anos, foi condenado a dois anos de prisão após confessar que gerenciou uma botnet de phishing utilizada em ataques de ransomware BitPaymer contra 72 empresas nos Estados Unidos. Angelov, que se apresentou nos EUA após a invasão da Ucrânia, era um dos líderes de uma operação criminosa russa conhecida como Mario Kart, que entre 2017 e 2021, enviou até 700 mil e-mails de spam por dia, infectando cerca de 3 mil computadores diariamente. A gangue não apenas distribuía malware, mas também vendia o acesso a dispositivos infectados para outros cibercriminosos, que realizavam extorsões em criptomoedas, resultando em mais de 14 milhões de dólares em pagamentos de resgate. Além disso, Angelov colaborou com outros grupos de ransomware, como o IcedID, e sua operação foi associada a diversas campanhas de phishing e ransomware, incluindo a parceria com a gangue TrickBot. Outro cidadão russo, Aleksey Volkov, também foi condenado a quase sete anos de prisão por atuar como intermediário em ataques de ransomware Yanluowang. O caso destaca a crescente ameaça de ransomware e phishing, que continua a impactar empresas globalmente.

Autoridades dos Estados Unidos, Alemanha e Canadá realizaram uma operação conjunta para desmantelar a infraestrutura de Comando e Controle (C2) utilizada pelas botnets Aisuru, KimWolf, JackSkid e Mossad, que infectavam dispositivos da Internet das Coisas (IoT). Essa ação visou servidores virtuais, domínios da internet e outras infraestruturas que possibilitaram a realização de centenas de milhares de ataques de negação de serviço distribuído (DDoS) em todo o mundo, incluindo endereços IP pertencentes à rede de informações do Departamento de Defesa dos EUA. A botnet Aisuru, por exemplo, estabeleceu um recorde em dezembro com um ataque DDoS que atingiu 31,4 Tbps e 200 milhões de requisições por segundo, afetando principalmente empresas do setor de telecomunicações. As investigações revelaram que essas botnets infectaram mais de três milhões de dispositivos IoT, como câmeras de segurança e roteadores WiFi, muitos localizados nos EUA. Os operadores das botnets vendiam acesso a outros cibercriminosos, permitindo ataques que resultaram em perdas financeiras significativas. A operação conjunta teve como objetivo interromper as comunicações associadas a essas botnets e prevenir novas infecções.

O Departamento de Justiça dos EUA anunciou a desarticulação de infraestruturas de comando e controle (C2) de várias botnets de Internet das Coisas (IoT), incluindo AISURU, Kimwolf, JackSkid e Mossad. Essa operação, que contou com a colaboração de autoridades do Canadá e da Alemanha, resultou na interrupção de ataques de negação de serviço distribuído (DDoS) que alcançaram picos de até 30 Terabits por segundo. As botnets, que infectaram mais de 3 milhões de dispositivos em todo o mundo, foram responsáveis por ataques massivos, como o de 31,4 Tbps em novembro de 2025. O Kimwolf, em particular, destacou-se por explorar redes proxy residenciais, permitindo acesso a dispositivos tradicionalmente protegidos. A operação envolveu empresas de tecnologia como Amazon Web Services e Cloudflare, que auxiliaram na investigação e mitigação dos ataques. Embora a desarticulação tenha sido um avanço significativo, especialistas alertam que a resiliência das botnets e a proliferação de novas variantes continuam a representar um risco elevado para a segurança cibernética global.

Pesquisadores de cibersegurança revelaram um novo loader de botnet chamado Aeternum C2, que utiliza uma infraestrutura de comando e controle (C2) baseada em blockchain para resistir a tentativas de derrubada. Ao invés de depender de servidores tradicionais, o Aeternum armazena suas instruções na blockchain pública Polygon, tornando sua infraestrutura de C2 praticamente permanente. Essa abordagem já foi observada em outras botnets, como a Glupteba, que usava a blockchain do Bitcoin como mecanismo de backup.

Uma nova botnet chamada SSHStalker tem sido utilizada por hackers para controlar sistemas Linux, utilizando o protocolo Internet Relay Chat (IRC) para comunicação. De acordo com a empresa de cibersegurança Flare, a botnet explora vulnerabilidades do kernel do Linux, permitindo o comprometimento em massa de dispositivos. O ataque é automatizado e visa servidores com SSH aberto na porta 22, permitindo que os hackers invadam os sistemas de maneira semelhante a um worm. Uma vez dentro, a botnet pode realizar ataques de negação de serviço distribuídos (DDoS), mineração de criptomoedas e proxyjacking, além de manter acesso persistente ao sistema sem ser detectada. O SSHStalker também utiliza um scanner em Golang para localizar servidores vulneráveis e executa arquivos em C para apagar registros de conexão SSH, dificultando a detecção de suas atividades. Pesquisadores suspeitam que a operação tenha origem romena, com base em gírias e nomenclaturas encontradas nos canais de IRC. A botnet é capaz de comprometer até versões antigas do Linux, datadas de 2009, e possui um catálogo extenso de malware e ferramentas maliciosas de código aberto.

O SSHStalker, uma nova botnet Linux, utiliza o protocolo IRC (Internet Relay Chat) para gerenciar suas operações, explorando servidores em nuvem para fins lucrativos. O protocolo, criado em 1988, foi revitalizado por essa botnet, que se destaca por sua estrutura de múltiplos bots e canais redundantes, permitindo controle eficiente sobre dispositivos infectados. A infecção inicial ocorre por meio de ataques automatizados de força bruta via SSH, com a botnet se espalhando rapidamente por infraestruturas de servidores em nuvem, como as da Oracle. Após comprometer um host, o malware baixa um compilador GCC para construir cargas úteis diretamente no sistema, garantindo a execução confiável dos bots em diversas distribuições Linux. Além disso, a botnet coleta chaves da AWS, realiza varreduras de sites e possui capacidades de mineração de criptomoedas. Embora existam capacidades de DDoS, não foram observados ataques, sugerindo que a botnet pode estar em fase de testes. Para mitigar os riscos, recomenda-se monitorar instalações de compiladores, atividades incomuns em cron e conexões de saída no estilo IRC, além de desabilitar a autenticação por senha SSH e aplicar filtragem rigorosa de saída.

Pesquisadores de cibersegurança revelaram detalhes sobre uma nova operação de botnet chamada SSHStalker, que utiliza o protocolo de comunicação Internet Relay Chat (IRC) para fins de comando e controle. A operação combina técnicas de exploração de sistemas Linux mais antigos com ferramentas de automação para comprometer em massa servidores vulneráveis, principalmente aqueles que ainda operam com versões do kernel Linux 2.6.x. O SSHStalker se destaca por manter acesso persistente aos sistemas comprometidos sem realizar ações de exploração subsequentes, sugerindo que a infraestrutura comprometida pode ser utilizada para testes ou retenção estratégica de acesso.

A botnet SSHStalker, recentemente documentada, utiliza o protocolo IRC (Internet Relay Chat) para suas operações de comando e controle (C2). Embora o IRC tenha sido criado em 1988 e tenha alcançado seu auge nos anos 90, ele ainda é valorizado por sua simplicidade e baixo consumo de banda. A SSHStalker adota mecânicas clássicas do IRC, como múltiplos bots e redundância de servidores e canais, priorizando resiliência e baixo custo em vez de furtividade. A botnet consegue acesso inicial por meio de varreduras automatizadas de SSH e força bruta, utilizando um binário em Go que se disfarça como o utilitário de descoberta de rede nmap. Após infectar um host, a botnet baixa ferramentas para compilar cargas úteis, permitindo uma melhor portabilidade. A persistência é garantida por meio de cron jobs que verificam a execução do processo principal a cada 60 segundos. A SSHStalker também inclui capacidades de mineração de criptomoedas e coleta de chaves AWS, embora ainda não tenha sido observada a realização de ataques DDoS. A empresa de inteligência de ameaças Flare sugere que as organizações implementem soluções de monitoramento e restrinjam a autenticação por senha SSH para mitigar os riscos associados a essa botnet.

A botnet AISURU/Kimwolf foi responsável por um ataque de negação de serviço distribuído (DDoS) que atingiu a marca recorde de 31,4 Terabits por segundo (Tbps) em novembro de 2025, durando apenas 35 segundos. A Cloudflare, que detectou e mitigou automaticamente a atividade, relatou um aumento significativo de ataques DDoS hipervolumétricos, com um crescimento de 121% em 2025, totalizando 47,1 milhões de ataques. Durante a campanha conhecida como ‘The Night Before Christmas’, que começou em 19 de dezembro de 2025, a média dos ataques foi de 4 Tbps, com picos de até 24 Tbps. A botnet comprometeu mais de 2 milhões de dispositivos Android, principalmente TVs Android de marcas não reconhecidas, utilizando redes de proxy residenciais para controlar esses dispositivos. Além disso, a Cloudflare observou que o setor de telecomunicações foi o mais atacado, com países como China, Brasil e EUA figurando entre os mais afetados. O aumento na sofisticação e no tamanho dos ataques representa um desafio crescente para as organizações, que devem reavaliar suas estratégias de defesa.