Câmeras, DVR e TV box da empresa podem fazer parte de uma botnet?
Podem, e o dono raramente percebe. Câmeras, gravadores, roteadores e TV boxes com senha de fábrica ou malware de origem passam a servir botnets que derrubam sites. A empresa fica com rede lenta, risco aos outros computadores e o endereço de internet usado em crimes. Inventário, senhas novas, rede separada e retirada de aparelhos sem homologação resolvem quase tudo.
O que aconteceu com as botnets Aisuru e Kimwolf?
Em março de 2026, o Departamento de Justiça dos Estados Unidos anunciou uma operação contra quatro botnets: Aisuru, Kimwolf, JackSkid e Mossad. Uma botnet é uma rede de aparelhos invadidos que obedecem a um mesmo criminoso. Segundo as autoridades, essas redes tinham comprometido mais de 3 milhões de dispositivos, entre DVRs, câmeras, roteadores Wi-Fi e outros aparelhos conectados. Canadá e Alemanha fizeram operações próprias contra os administradores, conforme relatou a SecurityWeek.
Essas redes eram alugadas para ataques DDoS (negação de serviço distribuída), que derrubam um site ou serviço com excesso de tráfego. A mesma reportagem lembra que a Cloudflare ligou Aisuru e Kimwolf ao maior ataque DDoS registrado até então, com pico de 31,4 Tbps. A operação policial cortou a comunicação dessas redes. Os aparelhos invadidos, porém, continuam nas casas e empresas de quem os comprou.
Por que isso é problema da minha empresa se o alvo era outro?
Porque o aparelho infectado fica dentro da sua rede. O jornalista Brian Krebs mostrou, em reportagem de 2 de janeiro de 2026, que a Kimwolf usava redes de "proxy residencial" para entrar na rede local de quem tinha esses aparelhos. Lá dentro, ela procurava outros dispositivos vulneráveis atrás do firewall e do roteador. A empresa Synthient estimou mais de 2 milhões de aparelhos infectados, e o laboratório XLab falou em pelo menos 1,8 milhão. As duas fontes citam o Brasil entre os países com mais infecções.
Para a sua empresa, as consequências práticas são três:
- Rede lenta e instável. O aparelho envia tráfego de ataque usando a sua internet.
- Porta de entrada. Um aparelho controlado por terceiros na mesma rede dos computadores do financeiro pode ser usado para chegar até eles.
- Seu endereço de internet aparece em crimes. Quando o aparelho vira proxy, o tráfego de outros criminosos sai pela sua conexão.
Por que a TV box sem homologação é o caso mais grave?
Porque o malware pode vir de fábrica. A Anatel publicou em 12 de agosto de 2025 um informe técnico sobre o malware BadBox 2.0. O laboratório da agência confirmou malware ativo e persistente em modelos não homologados com grande distribuição no país. Os aparelhos geravam tráfego de envio mesmo em modo de espera e eram usados como proxy residencial sem consentimento do dono. O mesmo informe cita dados da Shadowserver: os endereços de internet brasileiros ligados ao BadBox 2.0 passaram de cerca de 340 mil para mais de 1,8 milhão entre fevereiro e agosto de 2025.
O informe registra ainda que, em estudos de 2021 e 2022, a Anatel encontrou falhas que permitiam controle total da TV box e acesso a outros aparelhos da mesma rede, como computadores, celulares e câmeras. Também cita o alerta do centro de cibersegurança da Irlanda: restaurar o aparelho para as configurações de fábrica geralmente não remove a infecção, porque o malware está embutido no sistema.
Na empresa, a TV box costuma aparecer na recepção, na sala de espera ou no refeitório, ligada na mesma rede do escritório. Krebs foi direto na recomendação para quem tem um dos modelos afetados: tirar o aparelho da rede.
Como saber se algum aparelho da empresa está infectado?
Sem uma ferramenta especializada, você não terá certeza. Mas alguns sinais e verificações simples apontam o risco:
- Liste tudo o que está conectado. Entre na página de administração do roteador e veja a lista de dispositivos. Cada câmera, DVR, TV box, impressora e assistente de voz precisa ter dono e função conhecidos.
- Confira a homologação. A Anatel mantém a lista de Smart TV Box homologados. Aparelho que promete canais pagos de graça e não está na lista deve sair.
- Observe o tráfego. Aparelho que envia dados com a tela desligada é suspeito. Foi assim que a Anatel identificou os modelos infectados.
- Procure acesso aberto pela internet. DVRs e câmeras com acesso remoto configurado por redirecionamento de porta no roteador ficam expostos a varreduras.
- Verifique as senhas. Senha de fábrica em câmera, DVR ou roteador é o convite mais comum.
O que trocar ou configurar primeiro?
Comece pelo que custa pouco e corta o caminho do invasor:
- Retire TV boxes sem homologação. O informe da Anatel recomenda desligar aparelhos suspeitos e optar por dispositivos certificados pela agência e pelo Google Play Protect, de marcas conhecidas.
- Separe as redes. Câmeras, DVR, TV e aparelhos de visitantes vão para uma rede própria (rede de convidados ou VLAN, uma rede lógica separada) sem acesso aos computadores de trabalho.
- Troque todas as senhas de fábrica e desative contas e serviços que ninguém usa.
- Atualize o firmware (o software interno do aparelho) de câmeras, DVR e roteador. Aparelho que o fabricante não atualiza mais deve entrar no plano de troca.
- Feche o acesso remoto direto. Desligue o UPnP e os redirecionamentos de porta para o DVR. Se precisar ver as câmeras de fora, use a VPN (rede privada virtual) da empresa ou o aplicativo oficial do fabricante.
- Compre de canais formais. Aparelho barato de marca desconhecida pode trazer o malware antes mesmo de ser ligado.
Se o problema for o contrário, a sua empresa ser alvo de DDoS, a primeira conversa é com o provedor de internet e com o serviço de hospedagem do site, que oferecem proteção na borda da rede.
Por onde começar na sua empresa?
O primeiro passo é saber o que está ligado na sua rede e quem responde por cada aparelho. No Diagnóstico de máquinas, os analistas da CyberArmor levantam em duas semanas os equipamentos da rede, apontam câmeras, DVRs, roteadores e TV boxes expostos ou sem atualização e entregam a lista do que trocar, separar ou desligar. Para os servidores, o serviço de Hardening e conformidade de servidores aplica as configurações seguras e documenta o que foi feito. Se quiser revisar a sua rede, fale com um especialista.
Fontes