Uma operação judicial conduzida em 19 de março de 2026 pelo Departamento de Justiça dos EUA, com ações paralelas no Canadá e na Alemanha, sequestrou a infraestrutura de comando e controle usada pelos botnets Aisuru, KimWolf, JackSkid e Mossad. O golpe foi real, mas o problema cresceu: o número de endpoints residenciais que participam de ataques DDoS todos os dias subiu de cerca de 1 milhão para 8 a 9 milhões de endpoints ativos por dia depois que o Kimwolf se fragmentou em mais de 20 famílias concorrentes, segundo o Nokia Deepfield. A prioridade para uma equipe defensiva é dupla e imediata: fechar o vetor de entrada — o serviço de depuração ADB exposto em aparelhos Android — e passar a filtrar a comunicação de comando e controle na saída da própria rede.
Quem é afetado: provedores com milhares de clientes residenciais infectados, empresas que mantêm TVs e sticks Android nas redes internas e qualquer organização que hoje absorve ataques volumétricos. Os quatro botnets atingidos somavam, em março de 2026, mais de três milhões de dispositivos infectados no mundo, segundo o Departamento de Justiça, com ataques registrados em torno de 30 Tbps — recordes absolutos até então.
Como o botnet entra
O Kimwolf é ativo desde agosto de 2024, quando operava sobre dispositivos Linux IoT sob o nome AISURU, e migrou para TV boxes Android por volta de agosto de 2025, conforme o relatório da Unit 42. A versão atual, batizada v7 e descoberta em 3 de fevereiro de 2026, mantém o caminho de entrada das gerações anteriores: o operador compra acesso a um serviço de proxy residencial e usa proxies residenciais para alcançar o serviço de depuração ADB sem autenticação em aparelhos que saem de fábrica com a porta 5555 aberta.
O detalhe que industrializou o ataque está na arquitetura dos próprios proxies. Como documenta o Nokia Deepfield, era possível rotear uma requisição de proxy de volta ao próprio nó de saída e obter um shell de Android Debug Bridge sem nenhuma autenticação — ou seja, quem comprava acesso ao proxy podia fazer cada dispositivo escanear e comprometer a si mesmo. O administrador que industrializou essa falha e construiu o maior botnet já observado foi preso no Canadá, mas o defeito permanece sem correção em boa parte dos endpoints, a técnica é pública e mais de duas dúzias de outros grupos já a exploram.
O alcance do problema vai além de TVs: documentos judiciais citam gravadores de vídeo, câmeras web e roteadores Wi-Fi entre os aparelhos escravizados pelos quatro botnets, vendidos a terceiros em modelo de crime como serviço.
O C2 que resiste a quedas
A assinatura técnica do v7 é a resiliência do comando e controle. O binário grava cinco endpoints públicos de Ethereum RPC e os usa para resolver domínios do Ethereum Name Service, obtendo endereços de C2 a partir da blockchain. Os endpoints são embaralhados por um gerador pseudoaleatório a cada tentativa de resolução, o que dificulta o bloqueio por lista estática. Quando a resolução falha, o malware recorre a um serviço oculto Tor v3 gravado no binário, com todo o tráfego canalizado por um proxy local em 127.0.0.1:23075. A Unit 42 atribui esse desenho diretamente às quedas de servidores sofridas pelo grupo em dezembro de 2025.
Em infraestrutura, a investigação agrupou seis amostras com layout idêntico de ELF e o mesmo conjunto de endpoints RPC. O pivote veio de uma chave SSH de host repetida: 22 endereços IP na mesma faixa, na AS202799 (São Petersburgo, Rússia), apresentaram a mesma chave entre 18 de dezembro de 2025 e 3 de fevereiro de 2026, com conexões nas portas 13 e 443. Nenhum desses endereços tinha indicação prévia em inteligência pública. No aparelho, o malware mascara o nome do processo como netd_service e a variante Android chega como pacote com.android.logcatd. É mais um caso de ataques que usam serviços confiáveis para esconder intrusões: blockchain pública, RPC legítimo e Tor como estepe.
Esse desenho muda a resposta recomendada. Bloquear os cinco endpoints públicos de Ethereum RPC prejudica usuários legítimos e não resolve, porque o malware alterna entre eles e pode consultar o endereço do operador diretamente por IP. O caminho útil é detectar o comportamento: tráfego Ethereum RPC originado de aparelhos IoT e Android é anômalo por definição e serve de alarme mesmo quando o C2 muda.
A queda que virou hidra
Segundo o comunicado do Departamento de Justiça, documentos judiciais apontam mais de 200.000 comandos de ataque emitidos pelo Aisuru, mais de 25.000 pelo KimWolf, mais de 90.000 pelo JackSkid e mais de 1.000 pelo Mossad, com vítimas relatando dezenas de milhares de dólares em perdas e extorsão. O balanço do Nokia Deepfield, publicado em junho, é honesto sobre o resultado: o Kimwolf deixou de estar ativo e a fatia dos EUA no tráfego de proxy residencial caiu de forma durável — mas o Brasil substituiu parte relevante do volume perdido, e os servidores de comando que foram derrubados migraram para outra infraestrutura e voltaram aos níveis anteriores em semanas.
O que sobrou foi uma hidra: mais de 20 famílias concorrentes disputando o mesmo estoque de aparelhos vulneráveis, gerando o mesmo volume ou maior de ataques diários (até 10.000), com rebanhos individuais menores — a mediana de nós por ataque caiu para algo entre 20.000 e 30.000. O motor econômico segue intacto: um IP residencial americano chega a ser alugado por US$ 95 por duas semanas, contra US$ 0,30 por um IP do Leste Europeu, num mercado de proxies residenciais estimado entre US$ 2 e 3 bilhões, movido sobretudo por empresas de IA que precisam de IPs domésticos para coleta de dados. É a mesma lógica de precificação que sustenta os corretores de acesso no mercado de invasões.
Sinais a vigiar na rede
| Sinal | Onde procurar | Leitura |
|---|---|---|
| Tráfego de saída para endpoints Ethereum RPC a partir de aparelhos Android ou IoT | Registros do firewall e do DNS corporativo | Possível resolução de C2 via ENS; monitore, sem bloquear os RPC legítimos |
| Conexões para a faixa 212.193.31.0/24 (AS202799) nas portas 13 e 443 | Logs de borda e amostras de fluxo | C2 histórico do v7, sem indicação prévia em inteligência pública |
| Processo netd_service em TV box ou pacote com.android.logcatd instalado | Inventário e inspeção de aparelhos Android | Mascaramento típico do Kimwolf |
| Conexões locais em 127.0.0.1:23075 | Telemetria do aparelho | Proxy interno que canaliza o tráfego de C2 |
| ADB escutando na porta 5555 em aparelhos de mídia | Varredura interna de portas | Porta de entrada usada pela família |
O que fazer agora
Ações P1, para esta semana:
- Bloqueie a porta 5555 (ADB) na entrada e na saída dos filtros e desative o ADB via rede em todas as TVs e sticks Android gerenciados; varra as faixas internas atrás de aparelhos com o serviço exposto.
- Implante filtragem de C2 na borda da rede. Um cliente do Nokia Deepfield aplicou cerca de 200 ACLs em um roteador de borda e bloqueou cerca de 1 Tbps de tráfego malicioso de saída: os aparelhos continuam infectados, mas ficam sem comandos e silenciam.
- Bloqueie conexões de saída para serviços ocultos.onion a partir de redes que não têm motivo legítimo para usá-los.
Ações P2, para o trimestre:
- Crie alerta para tráfego Ethereum RPC originado de aparelhos IoT, sem bloquear os endpoints legítimos, que atendem usuários comuns.
- Defina política de compra para Android TV boxes baratos: permitir somente modelos com atualização garantida e conferir a configuração de fábrica antes de conectar.
- Participe do compartilhamento de indicadores com a comunidade, como Shadowserver e grupos de resposta a botnets, para acelerar as próximas derrubadas.