Botnet Iraniana Exposta via Diretório Aberto: Rede de Retransmissão de 15 Nós e C2 Ativo

A falha de OPSEC que expôs o servidor de staging iraniano (185.221.239[.]162) não é um erro isolado, é um padrão recorrente em operações de botnet com foco em bypass de censura e DDoS. O uso combinado de paqet (tunelamento KCP sobre pacotes brutos) e 3X-UI (painel web para VLESS/VMESS/Trojan) mostra que a mesma infraestrutura serve dupla função: contornar bloqueios internos do Irã e lançar ataques contra alvos externos, como servidores FiveM, alvos críticos por dependerem exclusivamente de UDP, facilitando floods volumétricos. A compilação on-host via gcc, disparada por até 500 sessões SSH simultâneas no script ohhhh.py, é uma tática deliberada para evitar detecção de binários estáticos, e o renomeamento de executáveis para 'hex' reforça essa camada de evasão.

O histórico .bash_history em farsi não só confirma a origem operacional, mas revela uma cadeia de desenvolvimento iterativo: primeiro túneis, depois testes contra servidores de jogos, por fim o C2 funcional. Isso difere de botnets genéricas, aqui há intenção estratégica, com foco em infraestrutura sensível (como transporte público ou serviços online) e capacidade de escalar rapidamente por meio de credenciais SSH comprometidas, técnica já observada em fevereiro de 2026 com a botnet SSHStalker, que atingiu mais de 7.000 servidores Linux.

Empresas que hospedam serviços públicos, jogos online ou infraestrutura crítica devem tratar qualquer invocação inesperada de gcc ou ssh com múltiplas tentativas de login como sinal vermelho, não apenas de intrusão, mas de recrutamento iminente para uma botnet de retransmissão. Servidores FiveM, por exemplo, ficam offline em média 3,2 horas por ataque DDoS, custando entre US$ 25 mil e US$ 40 mil por hora. E como a rede de 15 nós inclui provedores finlandeses (Hetzner) e ISPs iranianos (Dade Samane Fanava, Sindad), o tráfego malicioso pode mascarar sua origem geográfica real, dificultando bloqueios eficazes baseados em ASN ou país.