O que é uma botnet — e por que o seu roteador pode já fazer parte de uma

Twitter, Netflix, Spotify, Reddit e PayPal ficaram fora do ar na mesma tarde — não por falha em seus próprios data centers, mas porque dezenas de milhares de roteadores, câmeras e babás eletrônicas passaram duas horas inundando um único provedor de DNS com 1,2 terabit de tráfego por segundo. Os donos desses dispositivos não faziam ideia de que nada disso estava acontecendo.

O ataque foi obra do Mirai, um malware que recrutou silenciosamente cerca de 600 mil dispositivos conectados à internet ao escanear aparelhos protegidos apenas por senhas padrão de fábrica. A palavra “botnet” combina “bot” (abreviação de software robô) e “network” (rede). Cada dispositivo infectado é chamado de zumbi: ele continua funcionando normalmente para o dono enquanto executa ordens em silêncio de um operador criminoso remoto.

Como os dispositivos são recrutados

Os botnets se expandem por várias vias de infecção. E-mails de phishing carregam anexos maliciosos que instalam malware quando abertos. Softwares desatualizados expõem vulnerabilidades conhecidas que scanners automatizados varrem a internet para encontrar. Downloads drive-by comprometem dispositivos quando um usuário visita uma página adulterada com código de exploração.

O caminho que mais cresce é mais simples: credenciais padrão. Roteadores, câmeras, televisores inteligentes e dispositivos de armazenamento em rede costumam vir de fábrica com senhas idênticas — “admin/admin”, “admin/password” — que milhões de usuários nunca alteram. O Mirai não precisou de nada mais sofisticado que uma lista de 61 pares de credenciais padrão e acesso a portas Telnet abertas.

A infraestrutura de comando

Uma vez infectado, o dispositivo se junta a uma rede de comando e controle que permite ao operador dar instruções a milhares ou milhões de máquinas ao mesmo tempo. A arquitetura mais simples usa um servidor central: eficiente, mas um ponto único de falha que as autoridades podem derrubar. Botnets sofisticados usam modelos peer-to-peer em que os bots repassam instruções uns aos outros, sem nenhum ponto de estrangulamento. Outros alternam os endereços de servidor a cada poucos minutos — técnica chamada de fast-flux DNS — para escapar de listas de bloqueio.

Operações patrocinadas por Estados seguem uma abordagem diferente. O Volt Typhoon, um grupo ligado à inteligência chinesa que tem como alvo infraestruturas críticas dos EUA, evita malware completamente desde pelo menos 2021, operando por meio de ferramentas legítimas do sistema e roteadores comprometidos que ficam meses sem serem detectados.

O que a rede realmente faz

O modelo de receita de um botnet é diversificado. DDoS como serviço é o produto mais visível: alugar capacidade de ataque para clientes que querem derrubar o site de um concorrente ou um serviço governamental. Campanhas de spam roteiam bilhões de e-mails de phishing por meio de infraestrutura infectada, trocando de IPs constantemente para evitar listas de bloqueio. O credential stuffing usa nós do botnet para testar pares de login roubados em milhares de serviços simultaneamente, distribuindo as tentativas de forma esparsa para não estourar limites de taxa.

A mineração de criptomoedas sequestra ciclos ociosos de CPU e GPU dos dispositivos para gerar moedas de privacidade. A fraude de cliques simula engajamento publicitário em escala. O modelo de serviço de proxy pode ser o mais lucrativo de todos: alugar IPs infectados como proxies residenciais para clientes que precisam de tráfego que pareça vir de casas reais, e não de data centers. A rede 911 S5, desmantelada pelas autoridades dos EUA em maio de 2024, operou 28 milhões de endereços IP comprometidos como infraestrutura para aluguel por mais de uma década, gerando cerca de US$ 150 milhões antes que as acusações federais fossem reveladas.

Os casos que definiram a ameaça

O Mirai estabeleceu o padrão moderno de escala e consequência. Seu ataque ao provedor de DNS Dyn derrubou mais serviços de internet em uma única tarde do que qualquer evento anterior. Seus criadores então liberaram o código-fonte publicamente, semeando dezenas de botnets sucessores que permanecem ativos hoje.

O Emotet funcionou a partir de 2014 como um trojan bancário e evoluiu para uma plataforma de botnet como serviço alugada por outros grupos criminosos. Em seu auge, infectou cerca de quatro milhões de dispositivos em 180 países. Uma ação coordenada de agências de nove países o desmantelou em janeiro de 2021. Ele se reconstruiu por meio de acesso vendido pelo grupo TrickBot e retomou as operações doze meses depois.

Entre os casos recentes mais relevantes: uma rede de proxies residenciais que transformou secretamente 17 milhões de dispositivos em infraestrutura criminosa para aluguel antes que seus operadores fossem presos.

Como saber se seu dispositivo está infectado

A maioria dos dispositivos comprometidos não dá sinais dramáticos. Uso consistentemente alto de banda quando o dispositivo deveria estar ocioso, atividade inesperada da CPU, conexões com IPs desconhecidos visíveis nos registros de tráfego do roteador ou notificações do seu provedor de internet sinalizando tráfego de saída incomum podem indicar comprometimento. Alguns provedores notificam ativamente os clientes quando um dispositivo em sua linha aparece em listas de bloqueio de botnets.

Reduzindo sua exposição

A medida mais eficaz de todas é trocar as senhas padrão de fábrica em todo dispositivo conectado antes de conectá-lo: roteadores, câmeras, impressoras, dispositivos de armazenamento ligados à rede. Depois disso: mantenha o firmware atualizado em todos os dispositivos, desative o Universal Plug and Play (UPnP) no seu roteador a menos que você o use ativamente e coloque dispositivos IoT em um segmento de rede separado dos computadores que armazenam dados sensíveis.

Softwares de monitoramento de rede podem sinalizar conexões de saída anômalas antes que elas apareçam num alerta do provedor. As ferramentas existem. Os avisos de atualização aparecem. Os botnets são grandes porque a maioria das pessoas ignora ambos.

Tags: malware, botnet, cibersegurança, DDoS, Mirai, segurança IoT