Novo Malware Revela Crescente Ataque Sistemático à Infraestrutura de Rede

CondiBot e Monaco não são simples novas amostras de malware: são sinais claros de que a infraestrutura de rede virou alvo prioritário para ataques em escala industrial. CondiBot, derivado do Mirai mas com identificador interno 'QTXBOT', desativa watchdogs de hardware e altera permissões de arquivos críticos para 000, uma técnica que evita reinicializações forçadas e garante persistência mesmo em dispositivos sem sistema operacional completo. Ele caça concorrentes como Sora, o que mostra intenção de dominar redes comprometidas, não apenas explorá-las. Monaco, por sua vez, é mais agressivo na fase de entrada: brute-forces 3,6 bilhões de IPs com credenciais hardcoded, usa Go 1.24.0 para multiarquitetura (ARM32/ARM64/MIPS) e reporta credenciais via TCP cru, sem criptografia, sem camadas intermediárias, só eficiência suja.

Ambos operam abaixo da camada do SO, escapando de EDR/XDR convencionais. Isso não é acidente: é projeto. A Verizon confirmou aumento de oito vezes na exploração de vulnerabilidades em dispositivos de rede em 2025, com tempo médio de exploração zero e correção média de 30 dias. Ou seja, os atacantes estão entrando antes mesmo que as equipes de segurança saibam que há um problema.

Empresas não podem mais tratar roteadores, firewalls e switches como 'caixas mágicas' com firmware fechado e atualizações esporádicas. Esses dispositivos agora executam código malicioso com privilégios de kernel, minando criptomoedas ou servindo como nós DDoS, tudo sem deixar rastros em logs de aplicação ou processos usuais. A detecção exige monitoramento de baixo nível: alterações em /tmp/monaco, chmod 777 não autorizados, conexões TCP para portas incomuns (como 20480) e strings como 'QTXBOT' em memória ou disco. Ignorar essa camada é deixar uma porta aberta para ataques que não precisam passar pelo perímetro tradicional.