FBI derruba domínios de botnet chinesa usada para invadir NASA, Senado e Departamento de Justiça

O FBI apreendeu uma série de domínios usados por uma botnet de grande escala para coordenar e lançar ciberataques atribuídos ao governo chinês contra alvos americanos. Segundo comunicado do Departamento de Justiça dos EUA divulgado na quarta-feira e reportado pelo TechCrunch, as apreensões cortaram o acesso dos operadores às plataformas que controlavam a rede.

A botnet foi supostamente usada pelo governo chinês para invadir computadores em todo o território americano, incluindo sistemas de hospitais, empreiteiras de defesa e vários departamentos federais.

Quem está por trás e como funcionava

Os promotores afirmam que o grupo patrocinado pelo Estado chinês, conhecido como QTFY, era operado por uma empresa chamada Nanjing Xinjiuwei Network Tech, que criou e manteve uma botnet formada por milhares de dispositivos conectados à internet comprometidos.

O ponto técnico central: essa rede não servia apenas para desferir ataques diretos, mas como rede de obfuscação. Na prática, o tráfego malicioso dos invasores era roteado por esses dispositivos infectados de terceiros, mascarando a origem real da atividade e dificultando a detecção e a atribuição. É o mesmo princípio de esconder a fonte de um ataque atrás de proxies distribuídos, só que operado em escala e com dispositivos sequestrados.

Segundo o Departamento de Justiça, o QTFY funcionava como um serviço: oferecia capacidades de invasão a clientes, entre eles hackers do governo chinês que trabalham para o Ministério da Segurança do Estado (MSS), permitindo que usassem a infraestrutura da botnet. É o modelo de "hacking como serviço" aplicado a operações estatais, uma tendência que borra a linha entre grupos criminosos e atores patrocinados por governos.

O alcance dos ataques

Os ataques remontam a 2018 e afetaram a NASA, o Federal Reserve (banco central americano) e os Departamentos de Energia, Justiça e Saúde e Serviços Humanos. O Senado dos EUA foi comprometido tão recentemente quanto 2026, de acordo com a declaração juramentada que o governo apresentou ao tribunal para obter a ordem de apreensão dos domínios, protocolada no início desta semana.

A longevidade da operação, quase oito anos, é o dado mais desconfortável: mostra que uma infraestrutura de comando e controle pode persistir por anos atingindo alvos de altíssimo valor antes de ser desmontada.

Por que apreender domínios derruba a operação

A escolha por apreender domínios e não apenas prender pessoas tem uma lógica técnica direta. O Departamento de Justiça afirma que as apreensões tornaram a botnet e seus servidores de comando e controle (C2) inoperantes, porque os domínios estavam hardcoded no código da botnet e eram críticos para a comunicação e as operações essenciais da rede.

Quando o endereço de C2 está fixo no binário do malware, tomar controle desses domínios (via sinkhole ou apreensão) corta a linha de comunicação entre os dispositivos infectados e os operadores. Sem receber ordens, a botnet perde a coordenação. É uma lição de arquitetura defensiva e ofensiva ao mesmo tempo: endereços fixos são um ponto único de falha, e foi exatamente por ele que a operação foi neutralizada.

A gigante de redes Lumen disse em post no blog que vinha observando os invasores perfilando e mirando agências governamentais e os setores de defesa e aeroespacial ao longo do último ano, e que compartilhou inteligência de ameaças com o FBI. A colaboração entre operadoras de infraestrutura privada e o poder público foi parte do que viabilizou a derrubada.

O que isso muda para quem constrói software no Brasil

O caso é americano, mas a mecânica é global e diz respeito direto a quem desenvolve e opera sistemas por aqui. Alguns pontos práticos:

• Seu servidor pode virar peça da botnet sem você atacar ninguém. Dispositivos IoT mal configurados, VMs esquecidas em nuvem, roteadores com credenciais padrão e containers expostos são exatamente o tipo de "dispositivo conectado comprometido" que compõe redes de obfuscação. No Brasil, onde a adoção de IoT e de infraestrutura em nuvem cresce sem o mesmo ritmo de maturidade em segurança, isso é risco concreto.

• Infraestrutura crítica é alvo de longo prazo. Órgãos públicos, hospitais e empresas de energia foram vítimas nesse caso. Devs que trabalham com sistemas de saúde, setor público ou serviços essenciais no Brasil precisam tratar segurança como requisito de arquitetura, não como camada opcional adicionada no fim.

• Detecção de tráfego anômalo importa tanto quanto bloquear a invasão inicial. Como o objetivo da botnet era esconder a origem, monitorar saída de tráfego incomum (um servidor batendo em domínios estranhos, conexões persistentes com C2) é tão relevante quanto proteger a entrada.

• Compartilhamento de inteligência de ameaças funciona. A participação da Lumen mostra o valor de operadoras e empresas colaborarem com resposta a incidentes. No Brasil, o CERT.br e o CTIR Gov cumprem papel semelhante, e reportar dispositivos comprometidos alimenta esse ecossistema.

O que fica em aberto

A apreensão dos domínios neutraliza a infraestrutura atual, mas não impede que os operadores reconstruam a rede com novos domínios ou com mecanismos de C2 mais resilientes, como algoritmos de geração de domínios (DGA) ou canais peer-to-peer. Não há, até o momento, informação pública sobre prisões ou sobre a extensão total dos dados exfiltrados dos órgãos comprometidos ao longo dos anos de operação. Para o desenvolvedor, o recado permanece o mesmo independentemente da resposta: a higiene básica de segurança em cada máquina que você provisiona é o que impede que ela vire tijolo da próxima botnet.

Fonte: TechCrunch