O que é uma botnet — e por que o seu router pode já fazer parte de uma

O Twitter, o Netflix, o Spotify, o Reddit e o PayPal ficaram todos offline na mesma tarde — não por qualquer falha nos seus próprios centros de dados, mas porque dezenas de milhares de routers domésticos, câmaras e monitores de bebé passaram duas horas a inundar um único fornecedor de DNS com 1,2 terabits de tráfego por segundo. Os donos desses dispositivos não faziam ideia de que nada disto estava a acontecer.

O ataque foi obra do Mirai, um malware que recrutou silenciosamente cerca de 600 mil dispositivos ligados à Internet ao procurar aparelhos protegidos apenas por palavras-passe de fábrica predefinidas. A palavra “botnet” combina “bot” (abreviatura de robô de software) e “network” (rede). Cada dispositivo infetado é chamado de zombie: continua a funcionar normalmente para o seu dono enquanto executa silenciosamente ordens de um operador criminoso remoto.

Como os dispositivos são recrutados

As botnets crescem através de vários caminhos de infeção. Emails de phishing transportam anexos maliciosos que instalam malware quando abertos. Software não atualizado expõe vulnerabilidades conhecidas que scanners automatizados percorrem a Internet para encontrar. Downloads drive-by comprometem dispositivos quando um utilizador visita uma página manipulada com código de exploração.

O caminho que mais cresce é mais simples: credenciais predefinidas. Routers, câmaras, televisões inteligentes e discos de armazenamento em rede vêm frequentemente de fábrica com palavras-passe idênticas — “admin/admin”, “admin/password” — que milhões de utilizadores nunca alteram. O Mirai não exigiu nada mais sofisticado do que uma lista de 61 pares de credenciais predefinidas e acesso a portas Telnet abertas.

A infraestrutura de comando

Uma vez infetado, um dispositivo junta-se a uma rede de comando e controlo que permite ao operador emitir instruções para milhares ou milhões de máquinas de uma só vez. A arquitetura mais simples usa um servidor central: eficiente, mas um único ponto de falha que as autoridades podem encerrar. Botnets sofisticadas usam modelos peer-to-peer onde os bots transmitem instruções uns aos outros, sem um único ponto de estrangulamento. Outras rodam os seus endereços de servidor a cada poucos minutos — uma técnica chamada fast-flux DNS — para fugir às listas de bloqueio.

Operações patrocinadas por Estados seguem uma abordagem diferente. O Volt Typhoon, um grupo ligado à inteligência chinesa que tem como alvo infraestruturas críticas dos EUA, evitou completamente malware desde pelo menos 2021, operando através de ferramentas legítimas do sistema e routers comprometidos que ficam indetetáveis durante meses de cada vez.

O que a rede realmente faz

O modelo de receita de uma botnet é diversificado. O DDoS-as-a-service é o produto mais visível: alugar capacidade de ataque a clientes que querem o site de um concorrente ou um serviço governamental fora do ar. Campanhas de spam encaminham milhares de milhões de emails de phishing através de infraestrutura infetada, alternando constantemente de IPs para evitar listas de bloqueio. O credential stuffing usa nós da botnet para testar pares de login roubados em milhares de serviços simultaneamente, espalhando as tentativas de forma suficientemente fina para evitar limites de taxa.

A criptomineração sequestra ciclos ociosos de CPU e GPU dos dispositivos para gerar moedas de privacidade. A fraude de cliques simula envolvimento publicitário em grande escala. O modelo de serviço de proxy pode ser o mais lucrativo de todos: alugar IPs infetados como proxies residenciais a clientes que precisam de tráfego que pareça originar-se de casas reais em vez de centros de dados. A rede 911 S5, desmantelada pelas autoridades dos EUA em maio de 2024, operou 28 milhões de endereços IP comprometidos como infraestrutura de aluguer durante mais de uma década, gerando uns estimados 150 milhões de dólares antes de as acusações federais serem divulgadas.

Os casos que definiram a ameaça

O Mirai estabeleceu o padrão moderno para escala e consequência. O seu ataque ao fornecedor de DNS Dyn interrompeu mais serviços de Internet numa única tarde do que qualquer evento anterior. Os seus criadores depois lançaram o código-fonte publicamente, semeando dezenas de botnets sucessoras que permanecem ativas hoje.

O Emotet funcionou desde 2014 como um trojan bancário e evoluiu para uma plataforma botnet-as-a-service alugada por outros grupos criminosos. No seu auge, tinha infetado cerca de quatro milhões de dispositivos em 180 países. Uma ação coordenada de desmantelamento por agências de nove países interrompeu-o em janeiro de 2021. Reconstruiu-se através de acesso vendido pelo gangue TrickBot e retomou operações doze meses depois.

Entre os casos recentes mais consequentes: uma rede de proxy residencial que transformou secretamente 17 milhões de dispositivos em infraestrutura criminosa de aluguer antes de os seus operadores serem presos.

Como saber se o seu dispositivo está infetado

A maioria dos dispositivos comprometidos não dá sinais dramáticos. Uso consistentemente elevado de largura de banda quando o dispositivo deveria estar inativo, atividade inesperada da CPU, ligações a IPs desconhecidos visíveis nos registos de tráfego do router, ou notificações do seu fornecedor de serviços de Internet a sinalizar tráfego de saída incomum podem todos indicar comprometimento. Alguns ISPs notificam ativamente os clientes quando um dispositivo na sua linha aparece em listas de bloqueio de botnets.

Reduzir a sua exposição

O passo único mais eficaz é alterar as palavras-passe de fábrica predefinidas em todos os dispositivos ligados à rede antes de os conectar: routers, câmaras, impressoras, discos de armazenamento ligados à rede. Depois disso: mantenha o firmware atualizado em todos os dispositivos, desative o Universal Plug and Play (UPnP) no seu router a menos que o utilize ativamente, e coloque os dispositivos IoT num segmento de rede separado, longe dos computadores que contêm dados sensíveis.

Software de monitorização de rede pode sinalizar ligações de saída anómalas antes de aparecerem num alerta do ISP. As ferramentas existem. Os avisos de atualização aparecem. As botnets são grandes porque a maioria das pessoas ignora ambos.

Etiquetas: cibersegurança, malware, botnet, DDoS, Mirai, segurança IoT