Em 8 de outubro de 2026, agências de segurança de sete países (Estados Unidos, Reino Unido, Austrália, Canadá, Japão, Nova Zelândia e Espanha) assinaram um alerta conjunto sobre o Flax Typhoon, grupo apontado como operado por uma empresa de tecnologia de Pequim. No mesmo dia, o FBI e o Departamento de Justiça dos EUA apreenderam sete domínios usados pelo grupo para varredura de vulnerabilidades e phishing.
A parte que interessa diretamente a provedor é outra: segundo o alerta, a botnet Raptor Train, ligada ao grupo, continua ativa, com mais de 200 mil dispositivos comprometidos, entre roteadores, DVRs, NAS e câmeras IP. A apreensão atingiu as ferramentas do grupo, não os equipamentos infectados.
Por que isso é problema do provedor, e não só do cliente
Botnet de espionagem funciona de um jeito diferente da botnet de DDoS. Ela não quer derrubar ninguém, quer parecer tráfego residencial comum. O roteador ou a câmera comprometida vira um ponto de saída ou de retransmissão: o ataque contra um alvo qualquer sai com o IP de um assinante seu.
Na prática, isso significa:
- reclamação de abuso chegando contra blocos do provedor, às vezes com pedido de bloqueio ou listagem em reputação de IP;
- IP do CGNAT queimado, afetando dezenas de clientes que dividem o mesmo endereço público;
- requisição judicial pedindo a identificação de quem estava atrás de um IP e de uma porta, em uma atividade que o assinante nem sabe que aconteceu.
Diferente do DDoS, que aparece no gráfico de tráfego, esse uso é discreto. Um roteador que retransmite algumas conexões por hora não muda a curva de banda de ninguém.
O detalhe que vale conferir na própria infraestrutura
O alerta veio junto com a inclusão de cinco vulnerabilidades antigas no catálogo de falhas exploradas da CISA, com prazo de correção para órgãos federais americanos até 11 de outubro. A maioria é de software de servidor web, mas uma chama a atenção de quem roda DNS próprio: a CVE-2015-5477, no ISC BIND, que permite derrubar o serviço com uma consulta forjada.
Ela tem mais de dez anos e foi corrigida há muito tempo. Mesmo assim, aparece em lista de exploração ativa porque ainda há servidor sem atualização. Recursivo de provedor instalado há anos e nunca mais atualizado é exatamente o perfil afetado.
O que dá pra fazer do lado do provedor
O provedor não controla o NAS que o cliente comprou, mas controla bastante coisa em volta:
- Gerência do CPE fechada na WAN. HTTP, Telnet e SSH do roteador fornecido pelo provedor só devem responder pela rede de gerência, nunca pela internet.
- Firmware do CPE com dono. Se o equipamento é do provedor, a atualização tem de estar no processo, com versão conhecida por modelo, e não depender de o técnico lembrar na próxima visita.
- Varredura periódica dos próprios blocos. Saber quais IPs dos seus prefixos expõem Telnet, painel web de câmera ou porta de NAS para a internet. É o mesmo levantamento que o atacante faz.
- Atenção a padrão de tráfego, não só a volume. Um assinante residencial com conexões de saída constantes para portas de gerência de outros equipamentos, ou para muitos destinos diferentes em sequência, merece olhar, mesmo que use pouca banda.
- Versão do DNS recursivo monitorada. Um item no Zabbix com a versão do BIND ou do Unbound, e uma trigger quando ela fica para trás, custa minutos e evita surpresa.
- Canal de abuso que funciona. Ter o contato de abuse atualizado no Registro.br e alguém que leia a caixa transforma uma reclamação em ação, e não em listagem do bloco inteiro.
O alerta foi escrito para governos, mas o equipamento citado nele está na casa dos seus clientes. Quanto melhor o NOC enxerga onde cada IP e cada equipamento estão, mais rápido chega ao assinante certo. Se quiser ver isso no mapa, fale com a gente.
Fontes: Decryption Digest — Flax Typhoon: FBI seizure and CISA patch deadline.