DDoS usa base de 25 milhões de dispositivos no Brasil. TV box pirata lidera

Foto: Shutterstock

O Brasil se tornou o principal epicentro mundial de uma nova geração de ataques distribuídos de negação de serviço (DDoS), baseada em dispositivos residenciais. De acordo com um estudo da Nokia Deepfield, braço de inteligência de rede da Nokia, um dos principais vilões são equipamentos de TV box piratas. 

Os dados foram apresentados pelo CTO da Nokia Deepfield, Craig Labovitz, durante o IX Fórum 19 nesta quarta-feira, 17. O evento integra a 15ª Semana de Infraestrutura da Internet no Brasil.

O material apontou que 25 milhões de residências brasileiras já estão regularmente envolvidas nesse tipo de ataque por meio de dispositivos de consumo conectados à rede doméstica. Entre os tipos de aparelhos estão, por exemplo, TV boxes pirata, smartphones (com certos aplicativos móveis como fonte de infecção) e dispositivos com softwares de VPN grátis. 

"Nos últimos seis meses, vimos uma mudança drástica na nossa preocupação: da segurança das empresas brasileiras, dos DVRs [gravadores de vídeo digitais] brasileiros e das webcams, para a segurança em larga escala das residências", disse Labovitz.

Em outras palavras, isso significa que, antes, os ataques se concentravam em equipamentos corporativos e dispositivos de Internet das Coisas (IoT) expostos. Agora, partem majoritariamente de aparelhos dentro das casas, como TV box, apps de streaming pirata e softwares gratuitos baixados em celulares e computadores.

"Desses 25 milhões de dispositivos em residências brasileiras, estamos vendo que eles começam funcionando como proxies e depois começamos a ver esses ataques sendo usados em ações de DDoS", contou o executivo.

Segundo ele, cerca de 70% desse ecossistema de proxies tem origem maliciosa, associada sobretudo a aplicativos de TV gratuita e dispositivos que já chegam ao consumidor com malware instalado.

Escala dos ataques

Não foi apenas a origem que mudou ao longo desses anos. A escala dos ataques também mudou de patamar. "Antes de junho deste ano, ataques de um terabit eram um tanto raros, talvez alguns por semana", contou.

"Mas nos últimos três meses, ultrapassamos a barreira dos 45 a 50 terabits", afirmou. De acordo com o CTO, mesmo empresas com investimentos mais robustos em mitigação sofreram interrupções, que muitas das vezes são bem sucedidas. 

IA

Outro ponto central do estudo diz respeito ao papel indireto da indústria de inteligência artificial (IA) na expansão dessa infraestrutura. Segundo Labovitz, empresas de IA passaram a recorrer intensamente a proxies residenciais para contornar bloqueios ao treinamento de dados, investindo centenas de milhões de dólares nisso.

Labovitz argumentou que esse fluxo de recursos teria "industrializado" o mercado de proxies e ampliado drasticamente a base de dispositivos disponíveis para ataques.

O executivo alertou ainda para a concentração desse poder. Embora pareça haver centenas de fornecedores, ele revelou que "apenas seis empresas controlam entre 100 e 200 milhões de nodes [aparelhos conectados que formam a rede de ataque], sendo 25 milhões deles no Brasil".

"Não é mais uma ameaça apenas para empresas. É uma ameaça para países", disse. Ele também defendeu que a segurança deve ser incorporada diretamente à arquitetura das redes, incluindo IXPs e roteadores das operadoras.

TV box pirata

A Anatel tem tentado fechar o cerco contra as TV boxes ilegais, por conta do risco gerado às redes de telecomunicações e usuários. A agência já identificou esses malwares no passado mais de uma vez. Em 2021, encontraram botnet nessas caixinhas.

Em 2022, foram detectadas novas falhas de segurança no processo de atualização dos aplicativos por meio de lojas virtuais próprias. Já em agosto deste ano, outra investigação conduzida pela autarquia identificou a infecção de ao menos 1,5 milhão de TV boxes não homologadas no País. 

De acordo com a Anatel, a atuação se dá, inclusive, por uma organização criminosa internacional, como é o caso do Bad Box 2.0. Mesmo em modo de espera, eles geram tráfego de dados suspeito e podem servir como porta de entrada para atividades criminosas.

Isso porque muitos dos dispositivos usados para a recepção de canais de TV pela Internet chegam ao consumidor com apps maliciosos pré-instalados ou recebem atualizações remotas capazes de instalar malware sem qualquer aviso.