---
title: "Hackers aproveitaram o apagão da AWS para 'treinar' novo exército de robôs IoT"
author: "Gabriela P. Torres"
date: "2025-11-27 10:54:00-03"
category: "Tecnologia & Desenvolvimento"
url: "http://desbugados.scale.press/portal/desbugados/post/2025/11/27/hackers-aproveitaram-o-apagao-da-aws-para-treinar-novo-exercito-de-robos-iot/md"
---

# Apagão na Nuvem, Teste na Realidade: A Estreia do ShadowV2

Enquanto muitos administradores de sistema suavam frio durante a grande interrupção dos serviços da AWS em outubro, um novo ator malicioso aproveitava a cortina de fumaça digital para conduzir um experimento em escala global. Pesquisadores do FortiGuard Labs, da Fortinet, identificaram uma nova botnet baseada no infame malware Mirai. Batizada de **ShadowV2**, sua atividade coincidiu perfeitamente com a duração do apagão, levantando uma hipótese lógica e preocupante: estávamos assistindo a um ensaio geral.

A premissa é simples: se você pretende testar a capacidade de um exército de dispositivos zumbis, então o faz quando a atenção do mundo está convenientemente desviada. Embora as fontes da Fortinet afirmem que os dois incidentes não estão diretamente conectados, a correlação temporal é, no mínimo, suspeita. O ShadowV2 não causou a queda da AWS, mas seus operadores parecem ter explorado o caos para calibrar suas armas para futuros ataques de negação de serviço distribuído (DDoS).

## O Ensaio Geral na Escuridão Digital

A operação do ShadowV2 foi tudo, menos discreta em seu alcance. O malware se espalhou por 28 países, incluindo Brasil, Canadá, Estados Unidos, México, Reino Unido, Japão e Austrália, demonstrando uma capacidade de propagação verdadeiramente global. Os alvos não se limitaram a usuários domésticos; a campanha impactou setores críticos como governo, tecnologia, telecomunicações, educação e provedores de serviços de segurança gerenciados (MSSPs).

Essa amplitude sugere um teste de estresse não apenas para o malware em si, mas para a infraestrutura de comando e controle (C2) por trás dele. Ao ativar a botnet durante um evento de alta visibilidade como a falha na AWS, os atacantes puderam observar o comportamento de sua rede sob condições de tráfego de internet anormais, coletando dados valiosos para otimizar futuras ofensivas.

## A Lógica da Falha: Dispositivos Obsoletos, Ameaças Ativas

O método de infecção do ShadowV2 não se baseia em falhas desconhecidas (zero-day), mas sim em uma tática muito mais pragmática: a exploração de vulnerabilidades conhecidas e, em muitos casos, antigas. Segundo o relatório da Fortinet, o malware explora pelo menos oito falhas de segurança documentadas em produtos de diversas marcas, como **D-Link, TP-Link, DD-WRT, DigiEver e TBK**.

Aqui, a lógica é implacável. Se um fabricante declara um produto como "End-of-Life" (EoL), ou seja, em fim de vida útil, então ele não receberá mais atualizações de firmware. Se o produto não recebe atualizações, então suas vulnerabilidades se tornam permanentes. A conclusão é direta: para um hacker, um roteador EoL não está morto; ele se tornou um alvo em estado de vulnerabilidade perpétua.

Um exemplo factual é a vulnerabilidade **CVE-2024-10914**, que afeta dispositivos D-Link. A própria empresa, conforme apurado pelo BleepingComputer, confirmou que não lançará correções para os modelos impactados. Na prática, a D-Link entregou uma porta de entrada permanente para malwares como o ShadowV2. Para o consumidor, a mensagem é clara: seu equipamento antigo não é vintage, é um risco de segurança ativo na sua rede.

## Dissecando o ShadowV2: A Anatomia de um Malware

A análise técnica da Fortinet revela um processo de ataque metódico. Os ataques se originaram do endereço IP 198[.]199[.]72[.]27, mirando roteadores, dispositivos de armazenamento em rede (NAS) e gravadores de vídeo digital (DVRs). Uma vez que uma vulnerabilidade é explorada, um script downloader chamado binary.sh é executado no dispositivo vítima.

Este script, por sua vez, busca o payload principal do ShadowV2 a partir de um servidor no endereço 81[.]88[.]18[.]108. Ao ser executado, o malware se identifica com a string "ShadowV2 Build v1.0.0 IoT version", o que leva os pesquisadores a acreditar que esta seja a primeira versão desenvolvida especificamente para o ecossistema de Internet das Coisas (IoT). Com similaridades com a variante LZRD do Mirai, ele utiliza uma configuração codificada com XOR para ocultar suas strings e se conectar ao servidor de C2 para receber comandos.

Sua função principal é exatamente o que se espera de uma botnet: lançar ataques DDoS massivos. Ele é capaz de gerar inundações de tráfego nos protocolos UDP, TCP e HTTP, oferecendo um cardápio variado de opções para quem quer que esteja disposto a alugar seu poder de fogo.

## O Verdadeiro Custo da Conveniência Conectada

Embora a atividade do ShadowV2 tenha cessado com a normalização dos serviços da AWS, o episódio serve como um alerta contundente. O ensaio parece ter terminado, mas a peça principal pode estrear a qualquer momento. Ainda não se sabe quem está por trás do ShadowV2 ou qual é sua estratégia de monetização, mas botnets dessa magnitude raramente são criadas por hobby.

O incidente expõe a fragilidade fundamental da paisagem de IoT: um universo de bilhões de dispositivos conectados, frequentemente esquecidos por seus usuários e abandonados por seus fabricantes. A conclusão lógica é que, enquanto firmwares não forem atualizados e equipamentos obsoletos não forem substituídos, exércitos de robôs como o ShadowV2 continuarão a ser recrutados na escuridão, aguardando o próximo comando para atacar.