Iot

Pesquisadores de segurança da XLab identificaram uma expansão significativa da botnet PolarEdge, que comprometeu mais de 25.000 dispositivos e 140 servidores de comando e controle (C2) em 40 países. A descoberta se concentrou em um novo componente, o RPX_Client, que transforma dispositivos IoT vulneráveis em nós proxy para operações cibernéticas. O ataque foi detectado em 30 de maio de 2025, quando um arquivo ELF chamado ‘w’ começou a ser distribuído, inicialmente sem detecções no VirusTotal, sugerindo uma campanha furtiva. A maioria dos dispositivos infectados está localizada na Coreia do Sul (41,97%), seguida pela China (20,35%) e Tailândia (8,37%). Os alvos principais incluem câmeras de vigilância KT CCTV e gravadores de vídeo digitais da Shenzhen TVT, além de roteadores Asus e Cisco. A infraestrutura RPX_Server opera em servidores virtuais privados, principalmente na Alibaba Cloud e Tencent Cloud, utilizando um certificado PolarSSL idêntico, o que facilitou a validação dos servidores ativos. O design da botnet complica os esforços de atribuição, tornando a identificação de origens de ataques mais desafiadora.

Pesquisadores em cibersegurança alertam para um aumento significativo de ataques automatizados direcionados a servidores PHP, dispositivos IoT e gateways de nuvem, realizados por botnets como Mirai, Gafgyt e Mozi. Segundo o relatório da Qualys Threat Research Unit, os servidores PHP se tornaram alvos principais devido ao uso generalizado de sistemas de gerenciamento de conteúdo, como WordPress e Craft CMS, que frequentemente apresentam vulnerabilidades conhecidas e configurações inadequadas. Entre as falhas exploradas estão CVE-2017-9841, CVE-2021-3129 e CVE-2022-47945, que permitem execução remota de código. Além disso, os atacantes estão utilizando strings de consulta específicas para iniciar sessões de depuração, o que pode expor dados sensíveis. A Qualys também observou que as tentativas de exploração frequentemente se originam de infraestruturas de nuvem, como AWS e Google Cloud, evidenciando como serviços legítimos estão sendo usados para encobrir atividades maliciosas. A empresa recomenda que os usuários mantenham seus dispositivos atualizados, removam ferramentas de desenvolvimento em ambientes de produção e restrinjam o acesso público à infraestrutura de nuvem. A nova botnet AISURU, classificada como TurboMirai, é capaz de lançar ataques DDoS superiores a 20 Tbps, destacando a evolução das ameaças cibernéticas atuais.

O PolarEdge é um novo malware identificado que ataca dispositivos NAS da QNAP, explorando uma vulnerabilidade crítica (CVE-2023-20118) em roteadores Cisco. A equipe de pesquisa da Sekoia.io detectou o malware em fevereiro de 2025, após sua primeira identificação em janeiro do mesmo ano, quando foi observado abusando da infraestrutura IoT de marcas como Asus e Synology. O PolarEdge utiliza um servidor TLS embutido, o que é incomum para malware IoT, permitindo controle autenticado por meio de um protocolo binário proprietário.

A crescente adoção de soluções digitais em cidades inteligentes, que incluem serviços de água, energia e monitoramento, traz à tona a necessidade de segurança na Internet das Coisas (IoT). A plataforma Automatrust, apresentada na Futurecom 2025 pela Cermob, visa proteger dados em infraestruturas críticas. Reginaldo Cardoso de Oliveira, diretor da empresa, destaca que a vulnerabilidade a ataques cibernéticos é um desafio real, exemplificando como um hacker poderia bloquear o fornecimento de água ou energia. A solução utiliza um chip que torna as medições imutáveis, garantindo a originalidade dos dados por meio de certificação ICP-Brasil/Inmetro e criptografia avançada. Isso assegura que as medições sejam auditáveis e rastreáveis, aumentando a transparência e a confiança nos serviços públicos. Além de medidores de água, a tecnologia pode ser aplicada em iluminação pública inteligente e sistemas da indústria 4.0. A Cermob está colaborando com operadoras de telecomunicações para integrar essa tecnologia em chips, visando uma maior adoção no próximo ano. A Futurecom 2025, realizada em São Paulo, destacou a importância da cibersegurança e inovação em telecomunicações, refletindo a necessidade de soluções robustas para proteger as cidades do futuro.

Uma nova campanha de botnet, classificada como Loader-as-a-Service, tem se mostrado altamente eficaz na exploração de roteadores SOHO e dispositivos IoT, aumentando em 230% entre julho e agosto de 2025. A pesquisa da CloudSEK revelou que atacantes estão utilizando logs de comando e controle expostos para automatizar a injeção de comandos e entrega de payloads, como o Mirai. Os atacantes exploram parâmetros POST não sanitizados em interfaces de gerenciamento web, testando credenciais padrão e realizando injeções de comandos. Uma vez que o acesso é obtido, os dispositivos são mapeados para coleta de informações, como endereços MAC e versões de firmware, permitindo a instalação de binários maliciosos para recrutamento em DDoS ou mineração de criptomoedas. A campanha também se aproveita de CVEs conhecidos em pilhas empresariais, como falhas no Oracle WebLogic e vulnerabilidades em plugins do WordPress. A recomendação é implementar filtragem de saída para bloquear tráfego malicioso e reforçar a segurança das interfaces web expostas. A segmentação de redes IoT e a aplicação de patches de firmware são essenciais para mitigar os riscos associados a essa ameaça emergente.

Um ataque DDoS sem precedentes, com pico de 1,5 bilhão de pacotes por segundo, foi detectado e mitigado pela FastNetMon. O ataque, que visou um fornecedor de mitigação DDoS na Europa Ocidental, utilizou dispositivos IoT e roteadores MikroTik comprometidos, abrangendo mais de 11.000 redes ao redor do mundo. O tráfego malicioso foi predominantemente um flood UDP, e a resposta rápida da FastNetMon permitiu que a empresa alvo resistisse ao ataque sem interrupções visíveis em seus serviços. Pavel Odintsov, fundador da FastNetMon, alertou que esse evento é parte de uma tendência perigosa, onde dispositivos de consumo podem ser facilmente sequestrados para realizar ataques em larga escala. A empresa enfatizou a necessidade de filtragem em nível de ISP para prevenir futuros ataques dessa magnitude. O incidente segue um ataque volumétrico anterior, que alcançou 11,5 Tbps, destacando um aumento nas inundações de pacotes e largura de banda, o que pressiona as capacidades das plataformas de mitigação em todo o mundo.

O Instituto Nacional de Padrões e Tecnologia dos EUA (NIST) lançou a Publicação Especial NIST 800-232, que padroniza a família de algoritmos criptográficos Ascon, desenvolvidos para ambientes com recursos limitados, como dispositivos da Internet das Coisas (IoT). Esta iniciativa, que começou em 2015, culminou em um processo rigoroso de avaliação que selecionou o Ascon em fevereiro de 2023. Os algoritmos Ascon são projetados para atender às necessidades de segurança crítica em dispositivos IoT, onde padrões tradicionais, como AES-GCM e SHA-2, podem ser excessivamente pesados.

Uma vulnerabilidade de segurança foi identificada em centenas de instalações do TeslaMate, um registrador de dados de veículos Tesla, que expõe informações sensíveis a acessos não autorizados. O pesquisador de cibersegurança Seyfullah KILIÇ revelou que muitas instâncias do TeslaMate estão mal configuradas, permitindo o vazamento de dados em tempo real, como localização, padrões de carregamento e informações do veículo, sem autenticação. O TeslaMate, que se conecta à API oficial da Tesla, coleta dados detalhados, incluindo coordenadas GPS e dados de saúde da bateria. A vulnerabilidade decorre da configuração padrão do TeslaMate, que expõe pontos críticos sem mecanismos de autenticação. O acesso não autorizado é facilitado pela execução do aplicativo em portas públicas, como a 4000, sem as devidas medidas de segurança. Os dados expostos representam riscos significativos à segurança física, permitindo que atores maliciosos rastreiem rotinas diárias e identifiquem horários em que os veículos estão fora de casa. Especialistas recomendam a implementação de autenticação básica e restrições de firewall para mitigar esses riscos. Este incidente destaca a importância de práticas de segurança desde o design em aplicações automotivas de código aberto e a necessidade de educação dos usuários sobre práticas de implantação seguras.

Uma pesquisa da Fortinet revelou que o Brasil acumulou 315 bilhões de tentativas de ciberataques no primeiro semestre de 2025, representando mais de 80% do total de ataques na América Latina. Durante o Fortinet Cybersecurity Summit 2025, o vice-presidente de engenharia da empresa, Alexandre Bonatti, destacou que a maioria dos ataques no Brasil é direcionada, visando alvos específicos e com o objetivo de monetização. Os criminosos agora tratam os ataques como uma estratégia de negócios, buscando maximizar lucros. O Brasil se torna um alvo atraente devido à combinação de grandes instituições e baixa maturidade em segurança cibernética, especialmente em um cenário de transformação digital. Bonatti também mencionou que setores que utilizam Internet das Coisas (IoT), como indústria e saúde, estão entre os mais vulneráveis, principalmente quando operam com dispositivos desprotegidos ou desatualizados. A pesquisa indica que a educação em cibersegurança no Brasil ainda é precária, o que facilita a exploração por criminosos. Com o aumento da lucratividade dos ataques, a situação exige atenção urgente das empresas e profissionais de segurança da informação.