O grupo de pesquisa Hunt.io identificou, no in\u00edcio de abril de 2026, um botnet denominado xlabs_v1 que sequestra dispositivos IoT conectados \u00e0 internet para realizar ataques DDoS. A opera\u00e7\u00e3o funciona como servi\u00e7o pago, com foco em derrubar servidores de jogos, incluindo Minecraft, a partir de infraestrutura de hospedagem conhecida como bulletproof na Holanda.<\/p>\n
O PLC de comando fica em um bloco de rede na Holanda, e o servi\u00e7o \u00e9 operado por um indiv\u00edduo identificado como Tadashi. A descoberta ocorreu ap\u00f3s um servidor mal configurado expor o toolkit completo, permitindo aos pesquisadores acompanhar a opera\u00e7\u00e3o em tempo real.<\/p>\n
O que aconteceu<\/p>\n
Um servidor com o IP 176.65.139.44 ficou aberto na porta 80, servindo um diret\u00f3rio sem autentica\u00e7\u00e3o. Em vez de uma p\u00e1gina de login, havia arquivos do bot para download, incluindo o bin\u00e1rio principal, scripts de infec\u00e7\u00e3o e credenciais de proxy. Dois arquivos foram automaticamente marcados como maliciosos pela ferramenta de an\u00e1lise.<\/p>\n
Como funciona o ataque<\/p>\n
O vetor de infec\u00e7\u00e3o \u00e9 o ADB, exposto pela porta TCP 5555. Dispositivos com ADB ativo em produ\u00e7\u00e3o, como Android TV boxes, decodificadores e roteadores, tornam-se alvos potenciais. Mais de 4 milh\u00f5es de hosts com ADB aberto foram registrados nos \u00faltimos seis meses.<\/p>\n
Como o bot opera<\/p>\n
Ap\u00f3s a infec\u00e7\u00e3o, xlabs_v1 se esconde como o processo \/bin\/bash e inicia, em seguida, 8.192 conex\u00f5es simult\u00e2neas para medir a velocidade de upload do dispositivo. Com essa m\u00e9trica, o operador define o pre\u00e7o por banda do ataque.<\/p>\n
Quantos e quais ataques<\/p>\n
O arsenal soma 21 variantes de flood, usando TCP, UDP e raw. Entre eles est\u00e3o m\u00e9todos para jogos, como flood via protocolo RakNet utilizado por Minecraft, e pacotes UDP que imitam tr\u00e1fego de OpenVPN para dificultar a detec\u00e7\u00e3o.<\/p>\n
Infraestrutura e comando<\/p>\n
A infraestrutura est\u00e1 concentrada em quatro IPs dentro do bloco \/24 da Offshore LC, na Holanda, sob o ASN AS214472. O painel de comando usa o dom\u00ednio xlabslover.lol, com DNS por OpenNIC para maior resili\u00eancia. Em caso de falha de conex\u00e3o, o bot abre a porta 26721 como fallback.<\/p>\n
Quem est\u00e1 envolvido<\/p>\n
O operador usa o handle Tadashi, criptografado nos builds com ChaCha20. A chave fraca reutilizada facilitou a recupera\u00e7\u00e3o de strings, permitindo compreender a identidade do operador e a tabela de strings do malware. Testemunhos tamb\u00e9m indicam uma disputa interna com um fork rival.<\/p>\n
Por que importa<\/p>\n
A avalia\u00e7\u00e3o dos pesquisadores aponta n\u00edvel intermedi\u00e1rio de sofistica\u00e7\u00e3o, superior a varia\u00e7\u00f5es simples de Mirai. O uso de criptografia, m\u00faltiplas arquiteturas de bin\u00e1rio e a segmenta\u00e7\u00e3o por banda indicam planejamento para maior resili\u00eancia e rentabilidade.<\/p>\n
Impacto e desdobramentos<\/p>\n
Dispositivos IoT de consumo, roteadores dom\u00e9sticos e servidores de jogos de pequeno porte aparecem como alvo principal. A descoberta refor\u00e7a a necessidade de fechar portas expostas, desativar ADB em produ\u00e7\u00e3o e monitorar tr\u00e1fego an\u00f4malo em redes dom\u00e9sticas e de pequenas empresas.<\/p>\n","protected":false},"excerpt":{"rendered":"