A queda do yalishanda, um dos maiores fornecedores de hospedagem blindada operando com rede fast flux, reorganizou o mercado de aluguel de infraestrutura criminosa em vez de desativá-lo. Serviços sucessores como fluxy e reming já vendem rotação de DNS pronta para comandar malware e sustentar páginas de phishing, e a técnica segue sendo o ponto cego das listas de bloqueio. Para equipes de defesa, a consequência é objetiva: bloquear endereço IP isolado perdeu eficácia, e a detecção precisa mirar o comportamento do DNS, dos certificados e do sistema autônomo (ASN), não o IP do momento.

O colapso que reorganizou o crime

Três marcas dominavam o aluguel de hospedagem que ignora denúncias de abuso — yalishanda, ccweb e whost —, segundo mapeamento da Intel 471 publicado em agosto de 2026. O modelo e as rotas de desbaratamento já foram detalhados aqui no guia sobre como derrubar o aluguel do crime; o que mudou em 2026 foi a velocidade da substituição.

O cerco ao líder começou em 19 de novembro de 2025, quando Estados Unidos, Reino Unido e Austrália sancionaram a Media Land, a ML Cloud e empresas ligadas ao yalishanda, identificado pela Intel 471 como Alexander Volosovik. Em abril de 2026, o serviço fast flux do ator ficou fora do ar por dias; clientes reclamaram no fórum Exploit, o operador foi banido da plataforma e a investigação da empresa associou o colapso a um registro judicial russo de 30 de abril de 2026, que trata de recurso contra prisão domiciliar imposta ao ator em processo sobre fraude com instrumentos de pagamento.

A pressão institucional continuou: em 13 de julho de 2026, a União Europeia sancionou Volosovik, a Media Land e a ML Cloud; no dia seguinte, o Departamento de Justiça dos EUA tornou público indiciamento de 2024 que atribui ao grupo ataques com 62 milhões de dólares em perdas em 21 estados. Nada disso desligou a infraestrutura. Parte dos domínios do antigo fornecedor migrou para Cloudflare, Great Flower e Reg.ru, e a própria Intel 471 conclui que remover o operador sem desativar a infraestrutura produz deslocamento de clientes, e não degradação duradoura do mercado. A lição para quem defende redes é desconfortável: a queda de um fornecedor não reduz o risco dos domínios que ele hospedava.

Como o fast flux opera

Fast flux é a rotação rápida dos registros DNS de um único domínio entre muitos endereços IP, usando hosts comprometidos em botnets como pontos de passagem. O alerta conjunto da CISA, NSA e FBI descreve duas variantes: no single flux, o domínio responde com um conjunto de IPs que giram a cada consulta; no double flux, também os servidores de nomes mudam com frequência, criando redundância e anonimato extras. O ganho para o atacante é um comando e controle (C2) altamente disponível, difícil de rastrear e resistente a bloqueio pontual — a mesma lógica de camuflagem em tráfego legítimo vista na botnet que disfarçava C2 como tráfego STUN.

O documento americano registra ainda que provedores de hospedagem blindada vendem fast flux como diferencial comercial: um anúncio capturado em fórum promete manter clientes fora das listas do Spamhaus expondo apenas interfaces descartáveis, enquanto os servidores reais permanecem limpos. No mercado sucessor, essa oferta virou produto de prateleira. O fluxy lançou o plano VIP FAST FLUX no fim de março de 2026, com painel administrativo dedicado e geração de certificados SSL embutida; a maioria dos domínios registrados pelo serviço apareceu em operações de phishing. O concorrente reming, apontado como ex-revendedor do yalishanda, cobra US$ 80 por domínio em um serviço que anuncia suporte a HAProxy e Nginx e hospedava centenas de domínios usados contra instituições financeiras, plataformas de criptomoedas e serviços corporativos.

O consumidor mais visível dessa oferta é o phishing. Como o alerta da CISA observa, o fast flux mantém páginas de engenharia social no ar mesmo depois de bloqueios, porque o endereço denunciado já saiu de cena quando a regra chega ao filtro — e a rotação também serve a fóruns e mercados ilícitos que precisam sobreviver a takedowns. Para a equipe de resposta, isso muda a meta: o objetivo não é derrubar o IP, é documentar o cluster e escalar ao registrador e ao provedor com pacote de evidências completo.

Sinais que o DNS entrega

O fast flux deixa padrões mensuráveis, e é aí que a defesa recupera vantagem. Segundo o alerta conjunto da CISA, um domínio fast flux típico troca de endereço IP a cada 3 a 5 minutos e cicla por dezenas ou centenas de endereços por dia — comportamento que infraestrutura legítima raramente produz fora de redes de entrega de conteúdo e balanceadores. O desafio, reconhecido no próprio documento, é distinguir rotação maliciosa desses usos benignos sem afogar o time em falsos positivos.

Sinal O que observar Ação
TTL anormalmente baixo Registros A com tempo de vida de minutos onde o padrão do domínio seria horas Marcar o domínio para monitoramento contínuo
Alta rotatividade de IPs Dezenas ou centenas de endereços distintos em poucas horas de resolução Correlacionar com feeds de reputação antes de qualquer bloqueio
Geolocalização inconsistente Resoluções espalhadas por países e operadores sem relação entre si Abrir investigação do cluster de infraestrutura
Name servers voláteis Registros NS do domínio mudando com frequência (double flux) Alertar a equipe de DNS e revisar histórico de WHOIS

Regra prática para o analista: trate cada domínio suspeito como um cluster, não como um IP. Passive DNS, histórico de certificados, ASN, name servers e dados de registro revelam a família à qual o ativo pertence e sobrevivem à rotação — o endereço que você bloqueou agora pode já ter saído da rede quando a regra chegar ao firewall. A Intel 471 recomenda acompanhar clusters em vez de endereços individuais e priorizar ativos recém-migrados de fornecedores desbaratados, porque continuam maliciosos depois da troca de provedor.

Prioridades defensivas P1 e P2

  • P1 — Detecção de rotação no DNS: implementar análise dos logs de consulta DNS com alertas para diversidade alta de IPs, entropia elevada nos nomes e TTL anormalmente baixo; conectar os alertas ao SIEM com contexto de campanha, não apenas de domínio.
  • P1 — Triagem de phishing ativo: antes de comemorar um bloqueio, verificar se o domínio da campanha vigente exibe sinais de flux; se exibir, acionar registrador e provedor com registros datados, IPs, certificados e atividade associada, porque a página vai retornar em outro endereço.
  • P2 — Enriquecimento por cluster: alimentar a investigação com passive DNS, certificados e ASN para ligar domínios novos a famílias conhecidas e detectar rebranding de antigos revendedores.
  • P2 — Retenção histórica: preservar resoluções DNS, WHOIS e relações de hospedagem por tempo longo o bastante para identificar migração após ações de força tarefa — a evidência de ontem é o que liga o domínio de hoje ao grupo conhecido.
  • P2 — Bloqueio por evidência, não por vizinhança: não bloquear provedores inteiros, como Cloudflare ou Reg.ru, por associação; redes mistas hospedam tráfego legítimo e malicioso, e o controle eficaz combina domínio, certificado e comportamento.

Nenhuma dessas medidas depende de ferramenta nova: dependem de tratar o DNS como o registro do movimento do adversário. O mercado de aluguel de crime trocou de dono, mas continua deixando rastro no mesmo lugar.

Fontes