Iot

O Departamento de Justiça dos EUA (DoJ) atualizou uma declaração anterior, esclarecendo que várias agências, incluindo a NASA e o Departamento de Energia, foram alvo de ataques cibernéticos realizados pelo grupo QTFY, vinculado ao governo chinês, mas não necessariamente comprometidas. O grupo, que opera desde 2018, é associado à empresa Nanjing Xinjiuwei Network Technology Co e recebe pagamentos do Ministério da Segurança do Estado da China. QTFY é conhecido por suas atividades de espionagem cibernética, utilizando ferramentas como QScan e QTRouter para explorar vulnerabilidades em dispositivos IoT e redes críticas. Um exemplo notável é a tentativa de invasão da NASA em 2019, explorando uma vulnerabilidade crítica do Pulse Secure VPN. O FBI já neutralizou domínios relacionados a essas ferramentas, mas a ameaça persiste, com a criação de uma botnet descentralizada de dispositivos IoT comprometidos. Essa situação destaca a importância de monitorar e proteger infraestruturas críticas contra ataques sofisticados e patrocinados por estados.

O pesquisador de segurança Olivier Laflamme revelou duas cadeias independentes de execução remota de código (RCE) que afetam o robô Unitree G1 EDU. As falhas, identificadas como CVE-2026-76639 e CVE-2026-76640, permitem que um invasor obtenha acesso root ao PC de locomoção do robô. A primeira vulnerabilidade envolve um caminho de rede adjacente através do chat_go e bashrunner, enquanto a segunda se inicia a partir de interações via Bluetooth Low Energy (BLE). Até o momento, não há um firmware corrigido disponível para os proprietários do G1 EDU, o que deixa os dispositivos vulneráveis. A Unitree já implementou uma correção em julho de 2026 para a verificação de propriedade entre contas de nuvem e robôs, mas a divulgação de Laflamme em 27 de agosto destaca que essa correção não impede a exploração das vulnerabilidades. A pesquisa também revelou que a falta de verificação de propriedade permitiu que contas não autorizadas recuperassem materiais de chave associados a outros robôs G1 EDU. A situação é preocupante, pois a exploração dessas falhas pode comprometer a segurança dos dispositivos e a privacidade dos usuários.

Pesquisadores da Universidade de Birmingham e da empresa de segurança Fuzzware descobriram que cartões SIM maliciosos podem explorar uma vulnerabilidade em dispositivos, permitindo que atacantes executem comandos remotamente. O estudo focou em uma funcionalidade chamada Proactive SIM, que permite que um SIM envie comandos para o dispositivo, em vez de apenas identificar o usuário na rede. A pesquisa revelou que, de 26 dispositivos testados, nove apresentaram uma interface SIM AT exposta, sendo a maioria em hardware de máquina a máquina, como módulos celulares e carregadores de veículos elétricos. Embora o ataque exija que o invasor já tenha controle sobre o SIM, a possibilidade de exploração em equipamentos IoT é alarmante, especialmente em dispositivos que não recebem atualizações de firmware com frequência. A Qualcomm já desenvolveu uma configuração mais segura que desativa essa interface por padrão, mas a falta de avisos públicos por parte dos fabricantes é preocupante. A situação destaca a necessidade de atenção redobrada em relação à segurança de dispositivos conectados, especialmente aqueles que operam sem supervisão constante.

Pesquisadores de cibersegurança identificaram uma nova família de botnets chamada Evooo1Bot, que utiliza o código-fonte do Mirai como base. Essa botnet é capaz de transformar dispositivos expostos à internet em proxies SOCKS, aumentando a capacidade de ataque dos cibercriminosos. Desde julho de 2026, a Evooo1Bot tem explorado vulnerabilidades conhecidas em dispositivos acessíveis publicamente, como roteadores e câmeras IP, utilizando uma série de CVEs, incluindo falhas em produtos da Alcatel, NETGEAR e D-Link. O malware não apenas reutiliza o mecanismo de DDoS do Mirai, mas também adiciona funcionalidades como comunicação C2 criptografada, um scanner de força bruta SSH e um módulo de captura de credenciais. Após a infecção, o bot se conecta a um servidor de comando e controle, permitindo que os atacantes executem uma variedade de comandos, desde ataques DDoS até a interceptação de credenciais. A capacidade de transformar dispositivos em proxies SOCKS5 aumenta significativamente o valor dos hosts infectados, permitindo que os atacantes ocultem suas atividades maliciosas e acessem redes internas. Essa nova ameaça representa um risco significativo, especialmente para dispositivos IoT, que frequentemente possuem segurança fraca.

Pesquisadores de cibersegurança da Palo Alto Networks descobriram uma nova versão do botnet Kimwolf/AISURU, chamada Kimwolf v7, que apresenta melhorias significativas para aumentar sua resiliência operacional e realizar ataques de negação de serviço distribuído (DDoS). Esta versão, identificada em fevereiro de 2026, utiliza um ataque de inundação DDoS baseado em HTTP/2, que constrói impressões digitais de navegador completas, dificultando a distinção entre o tráfego de ataque e a navegação legítima. Além disso, o Kimwolf v7 implementa uma infraestrutura de comando e controle (C2) mais resistente, utilizando o Ethereum Name Service (ENS) para obter endereços C2 e um serviço oculto Tor .onion. A remoção de módulos de varredura e exploração indica uma separação entre a propagação e a carga útil principal, com um carregador externo assumindo a responsabilidade pela entrada inicial. O botnet tem como alvo caixas de TV Android e dispositivos IoT baseados em Linux, abusando de serviços de proxy residenciais para instalar malware. A evolução do Kimwolf destaca a necessidade de as organizações tratarem dispositivos como caixas de TV Android como não confiáveis e a importância de desativar o ADB para mitigar riscos.

Pesquisadores da Universidade de Birmingham e da empresa de segurança Fuzzware descobriram que cartões SIM maliciosos podem executar comandos em dispositivos que utilizam módulos celulares, como carregadores de veículos elétricos e roteadores industriais. Em um teste com 26 dispositivos, 9 apresentaram a vulnerabilidade, permitindo que os pesquisadores executassem código em um carregador de EV comercial. A maioria dos dispositivos afetados utiliza processadores de comunicação da Qualcomm, e a falha está relacionada à interface RUN AT, que permite que o SIM envie comandos ao modem. Embora a Qualcomm tenha implementado uma configuração endurecida para novos dispositivos, muitos módulos existentes ainda estão vulneráveis. A pesquisa destaca a necessidade de os fornecedores de módulos celulares confirmarem se essa interface está habilitada em seus produtos, especialmente em um cenário onde dispositivos IoT não supervisionados são comuns. A falta de um patch único e a dificuldade de verificação em larga escala tornam a situação crítica, especialmente considerando que a maioria dos dispositivos afetados está em uso em setores como automotivo e industrial.

Pesquisadores de cibersegurança revelaram a existência de um ‘backdoor’ de fábrica em pelo menos 20 modelos de roteadores da Zbtlink, uma fabricante chinesa. De acordo com um relatório da VulnCheck, esse implante, denominado ENDLESSDOORS, está presente em todas as 21 imagens de firmware disponíveis nos últimos dois anos. O backdoor se disfarça como um processo legítimo do kernel Linux, mas opera como um processo de usuário com privilégios de root, tentando se conectar a uma infraestrutura de comando e controle na China a cada 35 segundos. O protocolo utilizado permite que um atacante assuma o controle do roteador sem precisar estar acessível pela internet, uma vez que não há autenticação ou negociação envolvidas. A Zbtlink reconheceu a vulnerabilidade e retirou as versões afetadas do site, alegando que a funcionalidade é destinada apenas à manutenção pós-venda. Os usuários são aconselhados a verificar processos suspeitos e bloquear os pontos de saída. Este incidente destaca a necessidade urgente de monitoramento e mitigação em dispositivos IoT, especialmente em um cenário onde a segurança da informação é cada vez mais crítica.

Um novo relatório da Bitsight revela que caixas de TV Android de baixo custo estão sendo utilizadas para fraudes publicitárias e como nós de botnet. A operação, chamada Fuyao, foi atribuída à Zhejiang Fengwo IoT Technology Co., Ltd., uma empresa chinesa. Os dispositivos, ao serem ativados por um sinal HDMI, redirecionam o tráfego de internet dos usuários, funcionando como um nó de saída SOCKS5, enquanto aguardam tarefas de fraude publicitária. A pesquisa identificou que cerca de 38 mil endereços MAC únicos estavam envolvidos, com um potencial de receita diária estimada em $47.500. A operação utiliza tecnologia de visão computacional para detectar anúncios e automatizar fraudes. Embora a empresa tenha sido identificada como responsável, não há confirmação sobre como os aplicativos foram instalados nos dispositivos. A recomendação para os usuários é verificar a certificação Play Protect e desconectar dispositivos suspeitos da rede. A situação levanta preocupações sobre a segurança de dispositivos IoT e a necessidade de vigilância constante sobre a integridade dos dispositivos conectados à internet.

A botnet chamada Dysphoria comprometeu cerca de 200 mil dispositivos em todo o mundo, utilizando-os para ataques de negação de serviço distribuído (DDoS) e operações de retransmissão de tráfego. Pesquisadores da QiAnXin XLab identificaram que a Dysphoria evoluiu de malwares anteriores, como ‘jackskid’ e ‘fbot’, incorporando um mecanismo de controle de comando e controle (C2) baseado em blockchain. A botnet utiliza domínios Ethereum ENS e Solana SNS para recuperar informações de infraestrutura, enquanto os endereços C2 estão ocultos em strings IPv6 falsas. Desde sua primeira detecção em 25 de março, a Dysphoria passou por várias atualizações, mostrando uma resiliência notável. A botnet se espalha através de credenciais fracas de Telnet e SSH, além de vulnerabilidades conhecidas em dispositivos IoT. Entre as falhas mais recentes exploradas estão CVE-2025-55182 e CVE-2025-34152. A capacidade máxima de DDoS da botnet é de 4 Tbps, o que, embora inferior ao recorde de 31,4 Tbps, ainda pode causar interrupções significativas. Para se proteger, recomenda-se manter o firmware atualizado e reforçar as configurações de segurança.

A botnet Dysphoria, monitorada pelo CNCERT e XLab, emergiu após uma operação policial contra a infraestrutura do JackSkid, adotando serviços de nome baseados em blockchain e relés de dispositivos infectados. Com mais de 200.000 bots, a botnet apresenta um design que dificulta sua interrupção. Entre 14 e 20 de julho, foram registrados 4.401 dispositivos ativos na China e um pico de 239.000 bots no exterior. A análise revela que a Dysphoria utiliza credenciais fracas de Telnet e SSH, além de falhas conhecidas em dispositivos IoT, como a CVE-2025-9528, para se espalhar. O uso de serviços de nome Ethereum (ENS) e Solana (SNS) para controle e comando (C2) torna a botnet mais resiliente a ações de desativação. Embora a Dysphoria ataque alvos de serviços de internet e jogos quase diariamente, não foram divulgados detalhes sobre as vítimas ou picos de ataque. A falta de dados independentes sobre a escala da botnet e a metodologia de contagem levanta questões sobre a precisão das informações apresentadas. Defensores são aconselhados a atualizar dispositivos IoT expostos e eliminar credenciais fracas para mitigar riscos.

Um relatório de cibersegurança publicado pelas agências de inteligência da Holanda, AIVD e MIVD, revela que um serviço de inteligência russo está sequestrando sistematicamente câmeras de segurança conectadas à internet na Europa e na Ucrânia. Essas câmeras estão sendo utilizadas para monitorar rotas de transporte militar e localizações de tropas ucranianas. O acesso a essas câmeras não se limita à observação passiva; na Ucrânia, foi utilizado para neutralizar pessoal militar ucraniano e destruir equipamentos. A invasão é facilitada pela exploração de dispositivos com senhas padrão e firmware desatualizado. O relatório destaca que mais de 87.000 câmeras vulneráveis foram identificadas, com 4.000 delas localizadas na Ucrânia. Embora a maioria das câmeras esteja acessível, nem todas foram efetivamente comprometidas. As recomendações incluem a desativação do acesso público, a troca de credenciais padrão e a implementação de autenticação multifator. A situação representa um risco significativo, pois câmeras comprometidas podem fornecer informações em tempo real sobre operações militares sem a necessidade de uma invasão mais profunda na rede.

Um pesquisador identificado como tokay0 revelou uma vulnerabilidade crítica em aspiradores de pó robóticos Shark RV2320EDUS, que permite que atacantes executem comandos remotos em outros dispositivos da mesma região da AWS. A falha reside na política de certificados, que não está restrita ao dispositivo específico, permitindo que qualquer um que tenha acesso ao certificado possa controlar o aspirador, acessar câmeras, ler mapas da casa e obter senhas de Wi-Fi em texto simples. Apesar de ter notificado a SharkNinja sobre a vulnerabilidade em março, a empresa ainda não lançou um patch ou um aviso oficial sobre a falha. O pesquisador observou mais de 1,5 milhão de números de série únicos de aspiradores Shark, com cerca de 44% deles respondendo a comandos, indicando que são vulneráveis. A correção da falha não depende do usuário, mas sim de uma atualização na conta da AWS da SharkNinja. Até que isso ocorra, a única mitigação disponível para os proprietários é desconectar os dispositivos da rede Wi-Fi, revertendo-os ao modo manual.

Pesquisadores de cibersegurança revelaram detalhes sobre uma nova estrutura de botnet chamada TuxBot v3 Evolution, que parece ter sido desenvolvida com a ajuda de um modelo de linguagem grande (LLM). Apesar da assistência da IA, o código gerado apresenta falhas funcionais. O TuxBot é composto por um agente bot em C, um servidor de comando e controle (C2) em Go, e uma infraestrutura de testes baseada em Docker. O agente bot utiliza 1.496 pares de credenciais para realizar ataques de força bruta via Telnet e explora mais de 30 famílias de dispositivos IoT com vulnerabilidades conhecidas. A comunicação com o servidor C2 é feita através de um canal TCP criptografado, utilizando um algoritmo de geração de domínio (DGA) e protocolos P2P. O framework é modular e tem raízes em botnets conhecidas como Mirai e AISURU. Embora ainda em desenvolvimento, o TuxBot já apresenta funcionalidades que podem ser potencialmente perigosas, como a capacidade de realizar ataques DDoS e manter persistência em dispositivos comprometidos. A descoberta do TuxBot destaca a crescente integração de inteligência artificial em ferramentas de cibercrime, o que pode acelerar a evolução de ameaças no espaço IoT.

A empresa de segurança runZero revelou sete vulnerabilidades na biblioteca de sistema de arquivos FatFs, que é amplamente utilizada em dispositivos como câmeras de segurança, drones e carteiras de criptomoedas. As falhas permitem que um atacante, ao inserir um dispositivo USB ou cartão SD malicioso, possa corromper a memória do dispositivo e executar código não autorizado. A vulnerabilidade mais crítica, CVE-2026-6682, apresenta um estouro de inteiro que pode levar à execução de código malicioso. Outras falhas incluem estouros de buffer e problemas de manipulação de dados que podem causar corrupção de memória ou falhas no dispositivo. Embora a runZero tenha classificado essas vulnerabilidades como de médio a alto risco, não houve relatos de exploração ativa até o momento. O FatFs é mantido por um único desenvolvedor, e a falta de resposta a tentativas de contato para correções levanta preocupações sobre a segurança de muitos produtos que dependem dessa biblioteca. Para organizações que utilizam firmware que interage com mídias FAT ou exFAT, é essencial auditar o código e implementar correções. Além disso, recomenda-se limitar o acesso físico a dispositivos e monitorar atualizações de firmware.

Uma nova família de malware, chamada AryStinger, está transformando roteadores domésticos esquecidos em uma rede de reconhecimento distribuído, ao invés de uma botnet DDoS. A empresa QiAnXin’s XLab identificou pelo menos 4.300 roteadores infectados, número que continua a crescer. O malware explora vulnerabilidades em roteadores antigos, especificamente aqueles com chips RTL819X da Realtek, que eram comuns entre 2012 e 2015. A infecção se espalhou a partir de um único IP e utiliza falhas conhecidas, como CVE-2013-3307 e CVE-2016-5681, para comprometer dispositivos, principalmente da D-Link. Além disso, uma variante do malware também ataca caixas NAS da QNAP. O AryStinger permite que os dispositivos infectados realizem varreduras na internet, coletando informações e ocultando a localização do verdadeiro atacante. A persistência do malware é garantida por um servidor SSH. A recomendação para os usuários é desativar a administração remota e substituir roteadores que não recebem mais atualizações de firmware.

O Serviço Canadense de Inteligência de Segurança (CSIS) obteve autorização judicial para neutralizar duas botnets operadas por estrangeiros que estavam infectando servidores e dispositivos IoT no Canadá. A decisão, divulgada em 15 de junho de 2026, marca a primeira vez que o CSIS utiliza suas novas capacidades de redução de ameaças para agir diretamente em dispositivos infectados. O juiz Catherine Kane concedeu o mandado em 1º de maio de 2024, permitindo que o CSIS alterasse e destruísse dados das botnets em equipamentos como roteadores e câmeras de segurança. A operação foi justificada pela iminente ameaça à segurança do Canadá, com foco em dispositivos e não em usuários. A corte destacou que a operação visava proteger a infraestrutura crítica do país, especialmente no setor energético. Embora a decisão tenha identificado a presença de adversários estrangeiros, não revelou suas identidades. A abordagem do CSIS se assemelha a operações anteriores do FBI nos EUA, que também realizaram limpezas de botnets, mas com diferenças nas autoridades legais. O artigo ressalta a importância da manutenção de equipamentos de rede, já que muitos ataques exploram dispositivos negligenciados e desatualizados.

Pesquisadores de cibersegurança alertam sobre a resurgência da botnet JDY, uma rede clandestina associada a atores de ameaças patrocinados pelo Estado chinês. Composta por mais de 1.500 dispositivos de pequenas empresas e IoT, a JDY atua como um scanner de alto desempenho, mapeando serviços expostos na internet. Inicialmente identificada como parte da KV-botnet em dezembro de 2023, a JDY evoluiu para uma rede independente após a desativação da KV-botnet pelo governo dos EUA em 2024. A botnet é utilizada para realizar reconhecimento direcionado e identificação de infraestruturas vulneráveis, especialmente após divulgações públicas de falhas. A diversidade dos dispositivos comprometidos, que agora inclui marcas como Ubiquiti e Linksys, permite que os operadores evitem detecções tradicionais. A arquitetura da JDY utiliza nós Tor para gerenciar a infraestrutura infectada, facilitando a coleta de dados de reconhecimento. O malware é projetado para se adaptar ao ambiente local, utilizando diferentes métodos de varredura dependendo das permissões disponíveis. A expansão da JDY e suas operações contínuas demonstram a resiliência das redes de reconhecimento modernas, que persistem mesmo após intervenções governamentais.

As autoridades da Holanda anunciaram a desativação de uma botnet que controlava milhões de dispositivos infectados, incluindo computadores, tablets, smartphones e dispositivos IoT. A operação, realizada pela Polícia Holandesa e pelo Centro Nacional de Segurança Cibernética (NCSC), revelou que a rede bot consistia em pelo menos 17 milhões de dispositivos comprometidos, com mais de 200 servidores na Holanda servindo como infraestrutura de backend. Embora o nome da botnet não tenha sido explicitamente divulgado, fontes locais indicam que a Asocks, uma empresa que oferece proxies residenciais, estava envolvida. Em abril de 2024, a equipe de inteligência de ameaças da HUMAN identificou uma campanha chamada PROXYLIB, que utilizava dispositivos Android infectados com software de proxy da LumiApps e Asocks. A NCSC alertou que dispositivos podem ser incorporados a uma botnet quando acessíveis a atacantes, que podem instalar malware para controle remoto. Para mitigar esses riscos, recomenda-se manter sistemas operacionais atualizados, usar senhas fortes e habilitar autenticação de dois fatores. Essa situação destaca a necessidade de vigilância constante e práticas de segurança robustas para proteger dispositivos conectados à internet.

Pesquisadores de cibersegurança revelaram a existência de uma nova botnet chamada xlabs_v1, derivada do Mirai, que se especializa em atacar dispositivos expostos à Internet que utilizam o Android Debug Bridge (ADB). A descoberta foi feita pela Hunt.io, que identificou um diretório exposto em um servidor na Holanda. A botnet é capaz de realizar ataques de negação de serviço distribuído (DDoS) e oferece 21 variantes de ataque, utilizando protocolos TCP, UDP e outros. O foco principal são dispositivos Android, como caixas de TV e roteadores, que têm o ADB habilitado por padrão. Além disso, a botnet é projetada para coletar informações sobre a largura de banda dos dispositivos comprometidos, permitindo que o operador classifique os dispositivos em diferentes faixas de preço para serviços de DDoS. A operação é considerada de médio porte, mais sofisticada que versões anteriores do Mirai, mas ainda assim acessível a criminosos. A situação é alarmante, especialmente para o setor de jogos, que já foi alvo de ataques semelhantes. A Hunt.io recomenda que operadores de servidores de jogos implementem medidas de mitigação adequadas para se proteger contra esses ataques.

Pesquisas recentes da Fortinet e Palo Alto Networks revelam que atores de ameaças estão explorando falhas de segurança em dispositivos TBK DVR e roteadores TP-Link fora de suporte para implantar variantes da botnet Mirai. A vulnerabilidade CVE-2024-3721, que afeta modelos de DVR, permite a injeção de comandos e a instalação de um malware chamado Nexcorium. Este malware é projetado para persistir e realizar ataques de negação de serviço (DDoS). Além disso, a CVE-2023-33538, que impacta roteadores TP-Link, também está sendo alvo de tentativas de exploração, embora com abordagens falhas. Os dispositivos afetados, como o TL-WR940N e TL-WR841N, não recebem mais suporte, o que aumenta o risco para os usuários. Especialistas alertam que a combinação de credenciais padrão e vulnerabilidades conhecidas torna os dispositivos IoT alvos fáceis para ataques. A recomendação é que os usuários substituam esses dispositivos por modelos mais novos e seguros.

Pesquisadores de cibersegurança revelaram a existência de uma botnet chamada Masjesu, que tem sido utilizada para ataques de negação de serviço distribuída (DDoS) desde 2023. Anunciada como um serviço de DDoS sob demanda no Telegram, a Masjesu se destaca por sua capacidade de atingir uma variedade de dispositivos IoT, como roteadores e câmeras, evitando endereços IP bloqueados para garantir sua sobrevivência a longo prazo. O malware utiliza criptografia baseada em XOR para ocultar dados e comandos, e já foi associado a um operador conhecido como ‘synmaestro’.

O cenário da cibersegurança continua alarmante, com sistemas considerados seguros sendo comprometidos de maneiras simples. Recentemente, o scanner de vulnerabilidades Trivy foi alvo de um ataque que injetou malware em suas versões oficiais, resultando na propagação de um worm autônomo chamado CanisterWorm. Além disso, uma operação do Departamento de Justiça dos EUA desmantelou botnets de IoT responsáveis por alguns dos maiores ataques DDoS, que afetaram dispositivos como câmeras IP e roteadores com credenciais fracas. Em outra frente, uma falha crítica no software Cisco FMC foi explorada por um ransomware, permitindo que atacantes executassem código malicioso remotamente. A velocidade com que as vulnerabilidades são exploradas está aumentando, como evidenciado por uma falha no Langflow que foi atacada apenas 20 horas após sua divulgação. O novo fluxo avançado de instalação de aplicativos no Android também foi introduzido para combater fraudes e malware, adicionando etapas de verificação. O artigo destaca a necessidade urgente de que as organizações revisem suas práticas de segurança e atualizem suas defesas para mitigar esses riscos.

Autoridades dos Estados Unidos, Alemanha e Canadá realizaram uma operação conjunta para desmantelar a infraestrutura de Comando e Controle (C2) utilizada pelas botnets Aisuru, KimWolf, JackSkid e Mossad, que infectavam dispositivos da Internet das Coisas (IoT). Essa ação visou servidores virtuais, domínios da internet e outras infraestruturas que possibilitaram a realização de centenas de milhares de ataques de negação de serviço distribuído (DDoS) em todo o mundo, incluindo endereços IP pertencentes à rede de informações do Departamento de Defesa dos EUA. A botnet Aisuru, por exemplo, estabeleceu um recorde em dezembro com um ataque DDoS que atingiu 31,4 Tbps e 200 milhões de requisições por segundo, afetando principalmente empresas do setor de telecomunicações. As investigações revelaram que essas botnets infectaram mais de três milhões de dispositivos IoT, como câmeras de segurança e roteadores WiFi, muitos localizados nos EUA. Os operadores das botnets vendiam acesso a outros cibercriminosos, permitindo ataques que resultaram em perdas financeiras significativas. A operação conjunta teve como objetivo interromper as comunicações associadas a essas botnets e prevenir novas infecções.

O Departamento de Justiça dos EUA anunciou a desarticulação de infraestruturas de comando e controle (C2) de várias botnets de Internet das Coisas (IoT), incluindo AISURU, Kimwolf, JackSkid e Mossad. Essa operação, que contou com a colaboração de autoridades do Canadá e da Alemanha, resultou na interrupção de ataques de negação de serviço distribuído (DDoS) que alcançaram picos de até 30 Terabits por segundo. As botnets, que infectaram mais de 3 milhões de dispositivos em todo o mundo, foram responsáveis por ataques massivos, como o de 31,4 Tbps em novembro de 2025. O Kimwolf, em particular, destacou-se por explorar redes proxy residenciais, permitindo acesso a dispositivos tradicionalmente protegidos. A operação envolveu empresas de tecnologia como Amazon Web Services e Cloudflare, que auxiliaram na investigação e mitigação dos ataques. Embora a desarticulação tenha sido um avanço significativo, especialistas alertam que a resiliência das botnets e a proliferação de novas variantes continuam a representar um risco elevado para a segurança cibernética global.

Pesquisadores de cibersegurança revelaram uma campanha persistente de nove meses que visou dispositivos da Internet das Coisas (IoT) e aplicações web, com o objetivo de integrá-los a uma botnet chamada RondoDox. Desde dezembro de 2025, a campanha tem explorado a vulnerabilidade React2Shell (CVE-2025-55182), que permite a execução remota de código em dispositivos vulneráveis. Estima-se que cerca de 90.300 instâncias ainda estejam suscetíveis a essa falha, com a maioria localizada nos EUA. A RondoDox, que surgiu no início de 2025, ampliou seu alcance ao adicionar novas vulnerabilidades ao seu arsenal. A campanha passou por três fases distintas, incluindo reconhecimento inicial e exploração em larga escala. Em dezembro de 2025, os atacantes começaram a escanear servidores Next.js vulneráveis e tentaram implantar mineradores de criptomoedas e variantes da botnet Mirai. Para mitigar os riscos, as organizações são aconselhadas a atualizar suas versões do Next.js, segmentar dispositivos IoT em VLANs dedicadas e monitorar processos suspeitos.

Os ataques de canal lateral são uma técnica sofisticada utilizada por cibercriminosos para extrair informações sensíveis, como chaves criptográficas, sem precisar invadir diretamente um sistema. Em vez de explorar vulnerabilidades de software, esses ataques se concentram na análise do comportamento físico de componentes de hardware durante o processamento de dados. Os hackers podem monitorar o consumo de energia, o tempo de resposta, a emissão de radiação eletromagnética e até mesmo os sons emitidos pelos dispositivos para deduzir informações valiosas. Exemplos notáveis incluem as vulnerabilidades Spectre e Meltdown, que afetaram processadores modernos e revelaram a fragilidade das implementações de segurança física. Embora a maioria dos ataques de canal lateral exija que o atacante esteja fisicamente próximo do alvo, dispositivos de Internet das Coisas (IoT) e ambientes de nuvem são particularmente vulneráveis. Para se proteger, recomenda-se a atualização constante de sistemas operacionais e a implementação de medidas como blindagem eletromagnética e algoritmos de tempo constante. No entanto, para usuários comuns, identificar esses ataques pode ser extremamente difícil, já que não há sinais visíveis de comprometimento.

A botnet Kimwolf, identificada pela QiAnXin XLab, já infectou cerca de 1,8 milhão de dispositivos, incluindo TVs Android e set-top boxes. Entre 19 e 22 de novembro de 2025, a botnet emitiu 1,7 bilhão de comandos de ataque DDoS, destacando-se no ranking da Cloudflare. Os principais alvos são dispositivos de TV em redes residenciais, com infecções concentradas em países como Brasil, Índia e EUA. A botnet utiliza técnicas avançadas, como o uso de ENS (Ethereum Name Service) para dificultar sua desativação. A pesquisa sugere que Kimwolf pode estar associada à botnet AISURU, conhecida por ataques DDoS recordes. A malware é projetada para operar de forma discreta, garantindo que apenas uma instância do processo seja executada e utilizando criptografia TLS para comunicação. Com 13 métodos de ataque DDoS suportados, a botnet visa maximizar o uso da largura de banda dos dispositivos comprometidos, indicando um foco em monetização através de serviços de proxy. Este incidente destaca a crescente ameaça que botnets de grande escala representam para dispositivos IoT, especialmente em um cenário onde a segurança cibernética é cada vez mais crítica.

Na última semana, o cenário de cibersegurança foi marcado por uma série de incidentes e inovações em fraudes digitais. O botnet ShadowV2, baseado no Mirai, voltou a atacar dispositivos IoT, explorando vulnerabilidades conhecidas para formar uma rede de dispositivos comprometidos, com o objetivo de realizar ataques DDoS. Além disso, a Singapura implementou novas regras para bloquear mensagens fraudulentas que se passam por agências governamentais, visando reduzir o aumento de golpes online. O projeto Tor anunciou uma atualização significativa em seu algoritmo de criptografia, aumentando a segurança da rede contra ataques ativos. Em um relatório alarmante, a Kaspersky identificou cerca de 6,4 milhões de ataques de phishing, com foco em usuários de lojas online e sistemas de pagamento, especialmente durante a temporada de compras de 2025. Por fim, a NCA do Reino Unido desmantelou uma rede de lavagem de dinheiro que facilitava a evasão de sanções russas, destacando a interconexão entre cibercrime e crimes financeiros. Esses eventos ressaltam a necessidade urgente de fortalecer as defesas digitais e a vigilância contra novas táticas de cibercriminosos.

A Microsoft anunciou a neutralização de um ataque de negação de serviço distribuído (DDoS) que atingiu 15,72 terabits por segundo (Tbps) e 3,64 bilhões de pacotes por segundo (pps), o maior já observado na nuvem. O ataque, originado de uma botnet de Internet das Coisas (IoT) chamada AISURU, envolveu mais de 500.000 endereços IP de origem. Os ataques foram caracterizados por inundações UDP de alta taxa, com pouca falsificação de origem, o que facilitou a rastreabilidade. A botnet AISURU, composta por cerca de 300.000 dispositivos infectados, como roteadores e câmeras de segurança, é responsável por alguns dos maiores ataques DDoS registrados. Embora a Microsoft tenha conseguido neutralizar o ataque, a vulnerabilidade dos dispositivos comprometidos ainda representa um risco. Além disso, a botnet também é utilizada para outras atividades ilícitas, como phishing e scraping. A crescente capacidade de ataque é impulsionada pelo aumento da velocidade da internet e pela potência dos dispositivos IoT. Este incidente destaca a necessidade de vigilância contínua e medidas de segurança robustas para proteger infraestruturas críticas.

Pesquisadores de segurança da XLab identificaram uma expansão significativa da botnet PolarEdge, que comprometeu mais de 25.000 dispositivos e 140 servidores de comando e controle (C2) em 40 países. A descoberta se concentrou em um novo componente, o RPX_Client, que transforma dispositivos IoT vulneráveis em nós proxy para operações cibernéticas. O ataque foi detectado em 30 de maio de 2025, quando um arquivo ELF chamado ‘w’ começou a ser distribuído, inicialmente sem detecções no VirusTotal, sugerindo uma campanha furtiva. A maioria dos dispositivos infectados está localizada na Coreia do Sul (41,97%), seguida pela China (20,35%) e Tailândia (8,37%). Os alvos principais incluem câmeras de vigilância KT CCTV e gravadores de vídeo digitais da Shenzhen TVT, além de roteadores Asus e Cisco. A infraestrutura RPX_Server opera em servidores virtuais privados, principalmente na Alibaba Cloud e Tencent Cloud, utilizando um certificado PolarSSL idêntico, o que facilitou a validação dos servidores ativos. O design da botnet complica os esforços de atribuição, tornando a identificação de origens de ataques mais desafiadora.

Pesquisadores em cibersegurança alertam para um aumento significativo de ataques automatizados direcionados a servidores PHP, dispositivos IoT e gateways de nuvem, realizados por botnets como Mirai, Gafgyt e Mozi. Segundo o relatório da Qualys Threat Research Unit, os servidores PHP se tornaram alvos principais devido ao uso generalizado de sistemas de gerenciamento de conteúdo, como WordPress e Craft CMS, que frequentemente apresentam vulnerabilidades conhecidas e configurações inadequadas. Entre as falhas exploradas estão CVE-2017-9841, CVE-2021-3129 e CVE-2022-47945, que permitem execução remota de código. Além disso, os atacantes estão utilizando strings de consulta específicas para iniciar sessões de depuração, o que pode expor dados sensíveis. A Qualys também observou que as tentativas de exploração frequentemente se originam de infraestruturas de nuvem, como AWS e Google Cloud, evidenciando como serviços legítimos estão sendo usados para encobrir atividades maliciosas. A empresa recomenda que os usuários mantenham seus dispositivos atualizados, removam ferramentas de desenvolvimento em ambientes de produção e restrinjam o acesso público à infraestrutura de nuvem. A nova botnet AISURU, classificada como TurboMirai, é capaz de lançar ataques DDoS superiores a 20 Tbps, destacando a evolução das ameaças cibernéticas atuais.

O PolarEdge é um novo malware identificado que ataca dispositivos NAS da QNAP, explorando uma vulnerabilidade crítica (CVE-2023-20118) em roteadores Cisco. A equipe de pesquisa da Sekoia.io detectou o malware em fevereiro de 2025, após sua primeira identificação em janeiro do mesmo ano, quando foi observado abusando da infraestrutura IoT de marcas como Asus e Synology. O PolarEdge utiliza um servidor TLS embutido, o que é incomum para malware IoT, permitindo controle autenticado por meio de um protocolo binário proprietário.

A crescente adoção de soluções digitais em cidades inteligentes, que incluem serviços de água, energia e monitoramento, traz à tona a necessidade de segurança na Internet das Coisas (IoT). A plataforma Automatrust, apresentada na Futurecom 2025 pela Cermob, visa proteger dados em infraestruturas críticas. Reginaldo Cardoso de Oliveira, diretor da empresa, destaca que a vulnerabilidade a ataques cibernéticos é um desafio real, exemplificando como um hacker poderia bloquear o fornecimento de água ou energia. A solução utiliza um chip que torna as medições imutáveis, garantindo a originalidade dos dados por meio de certificação ICP-Brasil/Inmetro e criptografia avançada. Isso assegura que as medições sejam auditáveis e rastreáveis, aumentando a transparência e a confiança nos serviços públicos. Além de medidores de água, a tecnologia pode ser aplicada em iluminação pública inteligente e sistemas da indústria 4.0. A Cermob está colaborando com operadoras de telecomunicações para integrar essa tecnologia em chips, visando uma maior adoção no próximo ano. A Futurecom 2025, realizada em São Paulo, destacou a importância da cibersegurança e inovação em telecomunicações, refletindo a necessidade de soluções robustas para proteger as cidades do futuro.

Uma nova campanha de botnet, classificada como Loader-as-a-Service, tem se mostrado altamente eficaz na exploração de roteadores SOHO e dispositivos IoT, aumentando em 230% entre julho e agosto de 2025. A pesquisa da CloudSEK revelou que atacantes estão utilizando logs de comando e controle expostos para automatizar a injeção de comandos e entrega de payloads, como o Mirai. Os atacantes exploram parâmetros POST não sanitizados em interfaces de gerenciamento web, testando credenciais padrão e realizando injeções de comandos. Uma vez que o acesso é obtido, os dispositivos são mapeados para coleta de informações, como endereços MAC e versões de firmware, permitindo a instalação de binários maliciosos para recrutamento em DDoS ou mineração de criptomoedas. A campanha também se aproveita de CVEs conhecidos em pilhas empresariais, como falhas no Oracle WebLogic e vulnerabilidades em plugins do WordPress. A recomendação é implementar filtragem de saída para bloquear tráfego malicioso e reforçar a segurança das interfaces web expostas. A segmentação de redes IoT e a aplicação de patches de firmware são essenciais para mitigar os riscos associados a essa ameaça emergente.

Um ataque DDoS sem precedentes, com pico de 1,5 bilhão de pacotes por segundo, foi detectado e mitigado pela FastNetMon. O ataque, que visou um fornecedor de mitigação DDoS na Europa Ocidental, utilizou dispositivos IoT e roteadores MikroTik comprometidos, abrangendo mais de 11.000 redes ao redor do mundo. O tráfego malicioso foi predominantemente um flood UDP, e a resposta rápida da FastNetMon permitiu que a empresa alvo resistisse ao ataque sem interrupções visíveis em seus serviços. Pavel Odintsov, fundador da FastNetMon, alertou que esse evento é parte de uma tendência perigosa, onde dispositivos de consumo podem ser facilmente sequestrados para realizar ataques em larga escala. A empresa enfatizou a necessidade de filtragem em nível de ISP para prevenir futuros ataques dessa magnitude. O incidente segue um ataque volumétrico anterior, que alcançou 11,5 Tbps, destacando um aumento nas inundações de pacotes e largura de banda, o que pressiona as capacidades das plataformas de mitigação em todo o mundo.

O Instituto Nacional de Padrões e Tecnologia dos EUA (NIST) lançou a Publicação Especial NIST 800-232, que padroniza a família de algoritmos criptográficos Ascon, desenvolvidos para ambientes com recursos limitados, como dispositivos da Internet das Coisas (IoT). Esta iniciativa, que começou em 2015, culminou em um processo rigoroso de avaliação que selecionou o Ascon em fevereiro de 2023. Os algoritmos Ascon são projetados para atender às necessidades de segurança crítica em dispositivos IoT, onde padrões tradicionais, como AES-GCM e SHA-2, podem ser excessivamente pesados.

Uma vulnerabilidade de segurança foi identificada em centenas de instalações do TeslaMate, um registrador de dados de veículos Tesla, que expõe informações sensíveis a acessos não autorizados. O pesquisador de cibersegurança Seyfullah KILIÇ revelou que muitas instâncias do TeslaMate estão mal configuradas, permitindo o vazamento de dados em tempo real, como localização, padrões de carregamento e informações do veículo, sem autenticação. O TeslaMate, que se conecta à API oficial da Tesla, coleta dados detalhados, incluindo coordenadas GPS e dados de saúde da bateria. A vulnerabilidade decorre da configuração padrão do TeslaMate, que expõe pontos críticos sem mecanismos de autenticação. O acesso não autorizado é facilitado pela execução do aplicativo em portas públicas, como a 4000, sem as devidas medidas de segurança. Os dados expostos representam riscos significativos à segurança física, permitindo que atores maliciosos rastreiem rotinas diárias e identifiquem horários em que os veículos estão fora de casa. Especialistas recomendam a implementação de autenticação básica e restrições de firewall para mitigar esses riscos. Este incidente destaca a importância de práticas de segurança desde o design em aplicações automotivas de código aberto e a necessidade de educação dos usuários sobre práticas de implantação seguras.

Uma pesquisa da Fortinet revelou que o Brasil acumulou 315 bilhões de tentativas de ciberataques no primeiro semestre de 2025, representando mais de 80% do total de ataques na América Latina. Durante o Fortinet Cybersecurity Summit 2025, o vice-presidente de engenharia da empresa, Alexandre Bonatti, destacou que a maioria dos ataques no Brasil é direcionada, visando alvos específicos e com o objetivo de monetização. Os criminosos agora tratam os ataques como uma estratégia de negócios, buscando maximizar lucros. O Brasil se torna um alvo atraente devido à combinação de grandes instituições e baixa maturidade em segurança cibernética, especialmente em um cenário de transformação digital. Bonatti também mencionou que setores que utilizam Internet das Coisas (IoT), como indústria e saúde, estão entre os mais vulneráveis, principalmente quando operam com dispositivos desprotegidos ou desatualizados. A pesquisa indica que a educação em cibersegurança no Brasil ainda é precária, o que facilita a exploração por criminosos. Com o aumento da lucratividade dos ataques, a situação exige atenção urgente das empresas e profissionais de segurança da informação.