Botnet de 31,4 Tbps: como TVs baratas viraram arma de DDoS

Em 19 de dezembro de 2025, começou uma campanha de ataques que a Cloudflare batizou de "The Night Before Christmas". No pico, ela entregou 31,4 terabits por segundo — o maior DDoS já reportado publicamente. Durou 35 segundos.

O detalhe que devia incomodar mais gente não é o número. É a origem. Essa quantidade absurda de tráfego não veio de data centers comprometidos nem de servidores potentes. Veio de mais de 2 milhões de aparelhos domésticos — em boa parte TV boxes Android de marca genérica, aquelas caixinhas baratas que ficam ligadas 24 horas por dia atrás da televisão da sala.

A tese em uma frase: o problema não é o criminoso que aluga a botnet — é um mercado que vende aparelho conectado sem nenhuma obrigação de mantê-lo seguro, e que empurra o custo dessa escolha para terceiros que nunca compraram nada.

De onde veio a botnet Aisuru

A botnet foi identificada pela primeira vez em agosto de 2024 e cresceu de forma que vale a pena destrinchar, porque cada etapa expõe uma falha estrutural diferente.

Ela chegou a cerca de 700 mil dispositivos IoT — roteadores mal protegidos e câmeras de segurança — antes de dar dois saltos.

O primeiro salto foi a cadeia de suprimentos. Pesquisadores apontam o comprometimento da infraestrutura de distribuição de firmware como acelerador do recrutamento, incluindo uma suposta invasão ao servidor de firmware de um fabricante em abril de 2025. Ou seja: o aparelho não foi infectado depois de instalado — ele baixou o malware da atualização oficial. Nenhuma orientação de "mantenha o firmware atualizado" protege contra isso.

O segundo salto foi a herança. Quando uma botnet rival foi derrubada em agosto de 2025, os dispositivos infectados abandonados não foram limpos — foram absorvidos. Derrubar a infraestrutura de comando não cura os aparelhos: só os deixa disponíveis para o próximo operador.

E então veio a virada de modelo de negócio, que é a parte mais interessante.

O DDoS virou o negócio menos lucrativo

Em outubro de 2025, Brian Krebs reportou que a Aisuru havia sido reformulada para um negócio mais discreto, mais lucrativo e mais sustentável: alugar os dispositivos infectados para serviços de proxy residencial, que ajudam criminosos a anonimizar o próprio tráfego.

Faz sentido econômico frio. Um ataque DDoS recorde atrai a imprensa, mobiliza provedores e acelera derrubadas — é barulhento e queima o ativo. Já um proxy residencial rende dinheiro todo mês, em silêncio, e o dono do aparelho nunca percebe.

Isso muda o que a botnet significa para você. Enquanto ela era só DDoS, o seu aparelho infectado era um problema de outra pessoa. Como proxy residencial, o crime de outra pessoa sai do seu IP: fraude bancária, criação de conta falsa, raspagem de dados, tentativa de invasão. E a reputação queimada é do seu endereço.

A botnet Kimwolf, do mesmo ecossistema, levou isso ao extremo: mirou software de proxy residencial instalado de fábrica em mais de mil modelos de aparelhos Android de streaming não autorizados. Não é infecção — é o produto.

O Brasil está no centro dessa história

Aqui a discussão deixa de ser internacional. A própria Anatel emitiu alerta oficial sobre o malware BadBox 2.0 e identificou mais de 1,8 milhão de dispositivos infectados no Brasil.

O que a agência descreve é pior do que "aparelho vulnerável":

• Alguns modelos saem de fábrica com malware instalado, operando em segundo plano sem o usuário perceber.
• O Android desses aparelhos não tem mecanismos básicos de segurança, e as lojas de aplicativos que eles usam não seguem política nenhuma de controle.
• Sem homologação, não existe obrigação de fornecer atualização de segurança. O aparelho nasce desatualizado e assim permanece.
• O dispositivo pode ser usado para captura de senha bancária e interceptação do tráfego do Wi-Fi da casa.

Esse último ponto merece um instante de atenção. Um aparelho comprometido dentro da sua rede doméstica não está só "participando de ataques lá fora" — ele está dentro do seu perímetro, na mesma rede do notebook do trabalho e do celular onde você acessa o banco. É o cenário que o modelo de Zero Trust descreve como "assumir a violação", só que na sala de estar.

Desde 2023 a Anatel bloqueia administrativamente os servidores de autenticação usados por esses aparelhos, e em maio de 2026 lançou um painel público com os dados de URLs e IPs bloqueados. É ação real — mas ataca a distribuição de conteúdo, não a infecção. Os 1,8 milhão de aparelhos continuam ligados.

Quem paga a conta?

Essa é a parte em que eu tenho opinião, e ela é impopular com todos os lados.

O usuário não é o culpado. É fácil dizer "não compre TV box pirata", e é uma recomendação correta. Mas a pessoa que compra uma caixinha de R$ 150 não tem como avaliar firmware, e nada na embalagem informa que o aparelho vai participar de crimes. Culpar o consumidor por não auditar o que comprou é transferir uma responsabilidade técnica para quem não tem meio de exercê-la.

O fabricante não paga nada. Vende um aparelho sem obrigação de atualizar, sem canal de correção e frequentemente sem existir juridicamente no país. O custo do descuido dele é integralmente externalizado: quem paga é a vítima do DDoS, o provedor que carrega o tráfego e o dono do aparelho que teve o IP listado.

O provedor é o único que sente e não decide nada. Os ataques da Aisuru foram particularmente destrutivos para provedores de internet, que carregam tráfego que não geraram, atendem o cliente que não sabe do problema e não têm autoridade nenhuma sobre o que entra na casa dele.

O paralelo mais honesto é o de segurança veicular. Ninguém espera que o motorista audite o freio: existe homologação, recall obrigatório e responsabilidade do fabricante. Em dispositivo conectado, nada disso existe — e é por isso que o mercado produz, sem má-fé, uma arma de 31,4 Tbps.

É exatamente aí que a discussão encosta no Marco Legal da Cibersegurança: o debate brasileiro está concentrado em obrigar quem opera infraestrutura crítica, e quase nada se discute sobre obrigar quem fabrica e importa dispositivo conectado. A União Europeia foi para o outro lado com o Cyber Resilience Act, que impõe requisitos de segurança ao produto e obrigação de atualização durante a vida útil. Dá para copiar.

O que fazer, na prática

Separando por quem você é na história.

Se você tem aparelhos conectados em casa

• Tire da tomada o que não é essencial. O aparelho que você não usa há seis meses não precisa de acesso à internet.
• Desconfie do que nunca atualiza. Se não houve uma atualização em anos, ou o fabricante desistiu, ou nunca houve plano.
• Troque a senha padrão de roteador, câmera e gravador de imagem. Continua sendo o vetor mais barato que existe.
• Prefira aparelho homologado. Homologação não garante segurança, mas cria um responsável identificável — e é essa a diferença.

Se você opera uma rede corporativa

• Inventarie tudo que se conecta. Câmera, impressora, controlador de acesso, TV da sala de reunião, sensor de ar-condicionado. Quase toda empresa tem mais dispositivo conectado do que imagina, e nenhum deles aparece no controle de ativos.
• Isole numa VLAN sem internet. A câmera precisa falar com o gravador, não com o mundo. Se você ainda não segmenta a rede, o post sobre VLAN explica o mecanismo.
• Bloqueie saída por padrão. Regra de firewall que permite tudo para fora é o que transforma um dispositivo infectado em membro ativo da botnet.
• Monitore tráfego de saída anômalo. É o sinal mais confiável de dispositivo recrutado, e um SIEM básico já detecta.

Se você é alvo em potencial

Nada aqui é novo, e está detalhado no post sobre ataques DDoS: não exponha o IP de origem, coloque o serviço atrás de uma rede anycast, cacheie o que der e proteja o DNS. Contra 31,4 Tbps, nenhuma infraestrutura própria resolve — a única defesa é que o ataque bata em quem tem capacidade de sobra.

O ponto que fica

O recorde de 31,4 Tbps é uma manchete. O fato relevante é mais desconfortável: essa capacidade foi montada com aparelhos que funcionam perfeitamente, comprados de boa-fé, ligados em casas comuns — inclusive, estatisticamente, em 1,8 milhão de casas brasileiras.

Enquanto vender dispositivo conectado não implicar obrigação de mantê-lo seguro, a próxima botnet será maior. Não porque os criminosos ficaram mais espertos, mas porque a oferta de matéria-prima cresce todo Natal.

Se você tem uma caixinha dessas ligada agora atrás da TV, esse é o momento de decidir se ela vale o que ela custa.