Operação holandesa derruba botnet com 17 milhões de dispositivos ligada a provedor russo

A botnet Asocks não era só uma rede de dispositivos comprometidos, era uma fábrica de anonimato para criminosos. Com 17 milhões de celulares e roteadores infectados via Proxylib, ela vendia acesso a IPs residenciais reais (não servidores virtuais) por menos de US$3/GB, permitindo que ataques de phishing, fraude bancária e DDoS passassem despercebidos por firewalls e sistemas de detecção baseados em reputação de IP. O malware, embutido em apps Android disfarçados de VPNs gratuitas ou mesmo em SDKs legítimos como o LumiApps, atuava em segundo plano, sem interface visível, redirecionando tráfego comum para os servidores C2 na Holanda, que agora foram apreendidos.

O ponto crítico: os 200 servidores derrubados eram apenas a ponta do iceberg. Os dispositivos permanecem infectados, e o código malicioso não é removido automaticamente com a perda da infraestrutura. Sem atualizações de firmware ou reinstalação limpa, roteadores ASUS antigos (como os alvos da RondoDox) e celulares Android com apps maliciosos continuam como nós ativos, prontos para serem recrutados novamente assim que novos servidores C2 forem ativados. Isso transforma a operação holandesa em um golpe cirúrgico na logística, não na raiz técnica do problema.

Na cobertura de 26 de maio, a Holanda apreendeu 800 servidores de uma empresa de hospedagem genérica que facilitava ataques. Agora, os mesmos órgãos identificaram e desativaram 200 servidores *específicos* da Asocks, uma infraestrutura dedicada, comercializada como proxy residencial, mas usada como backbone de crime organizado. O salto não é só quantitativo: é estrutural. Enquanto a ação anterior atacava fornecedores de 'infraestrutura em bruto', esta mirou um serviço de cibersegurança invertida, que vende anonimato como produto, com SLA, preços fixos e suporte técnico. Também há evolução no método de infecção: o Proxylib, citado pela primeira vez em abril de 2024, agora aparece como vetor consolidado em larga escala, não mais como ameaça emergente.

Empresas brasileiras que usam proxies residenciais para testes de geolocalização, scraping ou validação de campanhas estão expostas a dois riscos imediatos: primeiro, seus próprios IPs podem ter sido incluídos na rede Asocks sem saber, o que pode levar à blacklist de serviços como PayPal, Mercado Livre ou bancos digitais. Segundo, a persistência do malware nos dispositivos significa que redes corporativas com roteadores domésticos (usados em home office) ou celulares pessoais conectados ao Wi-Fi do escritório ainda carregam backdoors ativos. Não é só sobre 'evitar vírus': é sobre entender que um app de VPN gratuito instalado por um funcionário pode virar um canal de exfiltração de dados da sua rede interna.