Autoridades Desmantelam Botnet Proxy SocksEscort que Explorava 369.000 IPs em 163 Países

A SocksEscort não era só mais uma botnet de proxy: era uma fábrica de anonimato operando em escala industrial, com infraestrutura projetada para resistir a investigações. O malware AVRecon, usado para comprometer os roteadores, explorava falhas críticas em modelos EOL, como os D-Link DIR 818LW e DIR 860L, cujo suporte havia sido encerrado anos antes, mas que continuavam ativos em milhões de lares e pequenos escritórios. Ao instalar firmware personalizado que desabilitava atualizações permanentemente, os criminosos garantiam que os dispositivos permanecessem sob controle por meses ou anos, mesmo após a divulgação pública das vulnerabilidades.

Os servidores apreendidos revelaram um ecossistema completo: painel de administração com métricas em tempo real de IPs ativos, sistema de faturamento em criptoativos com conversão automática para euros e dólares, e integração com marketplaces clandestinos de credenciais roubadas. A rede foi usada diretamente em ataques contra sistemas financeiros norte-americanos, incluindo fraudes em cartões MILITARY STAR e golpes em plataformas de seguro-desemprego, alvos escolhidos por sua baixa maturidade em detecção de tráfego residencial anômalo.

Essa operação expõe um ponto fraco estrutural da cibersegurança global: a falta de ciclo de vida gerenciado para equipamentos de rede doméstica. Mais de 50% dos roteadores infectados estavam nos EUA e no Reino Unido, mas nenhum desses países tem exigências legais para notificação de comprometimento ou recall obrigatório de dispositivos EOL. Enquanto isso, provedores de internet seguem sem responsabilidade legal por manter o firmware de equipamentos fornecidos aos clientes. O resultado é uma camada invisível de infraestrutura comprometida, 369 mil IPs, que serve como base operacional para ransomware, CSAM e fraude bancária, sem que o dono do roteador sequer saiba que seu dispositivo está sendo usado como arma.