Resumo de Malware: Nova vaga de botnets a causar caos DDoS

Como as botnets estão a alimentar uma nova era de ataques DDoS implacáveis

Principais conclusões

• Três grandes botnets — Kimwolf, Aisuru e Mirai (e as suas variantes) — estão a impulsionar um aumento nos ataques DDoS altamente automatizados.
• Os atacantes exploram cada vez mais dispositivos IoT e domésticos inseguros, incluindo boxes de streaming não autorizadas de Android TV em campanhas Kimwolf.
• Os botnets usam padrões de ataque adaptativos, pipelines de exploração em massa e mecanismos de comunicação furtivos.
• A questão central: uma cadeia de abastecimento global de dispositivos com definições fracas, firmware desatualizado e práticas de segurança inconsistentes.

O ecossistema de botnet continua a evoluir rapidamente, alimentado por uma inundação de hardware de consumo e de pequenos escritórios mal protegidos. Tudo, desde routers e webcams a dispositivos de streaming Android TV não autorizados — frequentemente enviados com aplicações não verificadas ou funcionalidades de acesso remoto ocultas — tornou-se parte de um substrato global que alimenta operações persistentes de DDoS.

Aqui estão três das ameaças mais dominantes no ambiente atual.

Kimwolf: Um botnet furtivo que infiltra redes corporativas e governamentais

Tipo: Botnet, DDoS

Malware: Kimwolf

Propagação: Dispositivos IoT comprometidos, equipamentos domésticos, boxes de streaming Android não autorizadas

Vetor: fraquezas na cadeia de abastecimento em tecnologia de consumo e de pequenos escritórios

Alvo: Redes corporativas, governamentais e municipais

Ativo desde: 2025

O botnet Kimwolf infiltrou-se silenciosamente em ambientes corporativos, governamentais e municipais. Como Krebs on Security relatou, “Kimwolf espreita dentro do equipamento de escritório do dia-a-dia e dos routers domésticos que nunca foram reforçados para exposição ao nível empresarial.”

Relatórios adicionais mostram que Kimwolf utiliza canais de comunicação furtivos que mudam dinamicamente para evitar a deteção.

Um vetor notável na propagação do Kimwolf envolve dispositivos Android TV não autorizados ou clonados, que por vezes são enviados com malware pré-instalado ou componentes de acesso remoto inseguros. Uma vez conectados a uma rede doméstica ou de pequeno escritório, expõem shells remotos ou interfaces de gestão que os atacantes podem facilmente utilizar de forma maliciosa.

Nas redes empresariais, os dispositivos comprometidos atuam como pontos de apoio duradouros, permitindo movimentos laterais e convertendo a infraestrutura interna em participantes involuntários em campanhas de DDoS em larga escala.

Aisuru: O predecessor que estabeleceu recordes globais de DDoS

Tipo: Botnet, DDoS

Malware: Aisuru

Propagação: Varredura automatizada e exploração de dispositivos IoT vulneráveis

Vector: Autenticação fraca, firmware desatualizado e predefinições inseguras da cadeia de abastecimento

Alvo: Redes de consumidores e empresariais globalmente

Ativo desde: 2024

Antes da Kimwolf, a Aisuru mostrou o quão destrutiva pode ser a exploração automatizada de IoT. De acordo com Cybersecurity Dive, a Aisuru conduziu múltiplos ataques DDoS recordistas, incluindo uma campanha onde “os volumes de tráfego excederam os picos globais anteriores por uma margem significativa.”

Aisuru compromete rapidamente modelos de dispositivos previsíveis — muitas vezes hardware IoT de baixo custo com firmware desatualizado — infetando milhares de dispositivos em poucas horas. Estes nós comprometidos geram inundações volumétricas massivas, rodam vetores de ataque dinamicamente e sobrecarregam sistemas de mitigação globais.

Uma característica marcante da campanha Aisuru visou vários provedores de serviços ao mesmo tempo, mudando a carga em tempo real enquanto os defensores tentavam a mitigação. A análise de ameaças do Q325 da Cloudflare explora esta escalada mais ampla na escala e sofisticação dos ataques DDoS.

Mirai e a nova geração de variantes de botnets IoT

Tipo: Botnet, DDoS

Malware: Mirai e variantes modernas (por exemplo, remanescentes de Satori, Mozi, Katana)

Propagação: Exploração automatizada de dispositivos IoT inseguros

Vector: Credenciais padrão, firmware não corrigido, serviços expostos (Telnet/SSH/HTTP APIs)

Alvo: ISPs, fornecedores de hospedagem, plataformas de jogos, redes empresariais de edge

Ativo desde: 2016 (com variantes principais ativas até 2025)

Quase uma década após a sua estreia, Mirai continua a ser uma das famílias de botnets mais persistentes e amplamente adaptadas na internet. A sua resistência é impulsionada pelo fornecimento maciço e sempre renovado de dispositivos IoT inseguros — routers, DVRs, câmaras inteligentes e appliances de baixo custo enviados com firmware desatualizado e credenciais facilmente adivinháveis.

As variantes modernas do Mirai expandiram-se muito além do botnet original de código aberto. Estirpes como Katana, Satori e outros forks emergentes agora incluem:

• Grandes bibliotecas de exploits que visam dezenas de vulnerabilidades de IoT de uma só vez
• Motores de propagação mais rápidos capazes de comprometer milhares de dispositivos por hora
• Técnicas evasivas de comando e controlo, incluindo domain-fluxing e canais de comando encriptados
• Módulos de autoatualização, permitindo que os atacantes enviem rapidamente novos exploits à medida que surgem.

Os investigadores observam que muitos dispositivos infectados com Mirai sofrem de ciclos de vida de firmware negligenciados, o que significa que raramente recebem patches — resultando num conjunto de nós vulneráveis de longa duração que alimentam uma atividade DDoS sustentada.

Considerações finais

O crescimento de botnets como Kimwolf, Aisuru e Mirai destaca uma verdade crítica: a cadeia de abastecimento global de dispositivos domésticos e IoT é agora um campo de batalha central para operações de DDoS.

Os atacantes beneficiam de um fornecimento interminável de hardware inseguro.

• Dispositivos IoT baratos com configurações previsíveis
• Equipamento doméstico com interfaces de gestão expostas
• Dispositivos que raramente recebem atualizações de firmware
• Ecossistemas de fornecedores com predefinições fracas e testes inconsistentes

Para os defensores, o mandato é claro: tratar cada dispositivo ligado à rede, por mais pequeno, barato ou "de consumo" que seja, como um potencial ponto de apoio para operadores de botnet.