A Cloudflare informou que mitigou mais de 800 ataques distribuídos de negação de serviço (DDoS) na camada de rede, todos acima de 1 Tbps, no segundo trimestre do ano.
Na comparação com o primeiro trimestre, quando a empresa registrou apenas 130 ataques acima desse patamar, o número mais recente representa um aumento de mais de cinco vezes.
A Cloudflare é uma das principais empresas de infraestrutura e segurança da web e oferece serviços de CDN, DNS, proxy reverso e proteção contra DDoS para clientes em todo o mundo, protegendo cerca de 20% da internet.
Os serviços da companhia ficam entre os botnets de DDoS e seus alvos, o que permite à empresa observar e absorver ataques em escala massiva.
Recentemente, a Cloudflare mitigou um ataque recorde que atingiu 31,4 Tbps e 200 milhões de requisições por segundo, lançado pelo botnet Aisuru/Kimwolf, uma família que pesquisadores da Unit 42, da Palo Alto Networks, identificaram em fevereiro de 2026 em uma nova versão chamada Kimwolf v7.
Segundo os pesquisadores Asher Davila, Chris Navarrete e Doel Santos, o Kimwolf v7 adiciona uma inundação DDoS baseada em HTTP/2 que constrói fingerprints completos de navegador, tornando o tráfego do ataque mais difícil de ser distinguido de uma navegação legítima.
Em um novo relatório compartilhado e apresentado nesta quinta-feira, durante a conferência de segurança Black Hat, a Cloudflare afirmou que, no primeiro semestre do ano, mitigou 23,2 milhões de ataques DDoS na camada de rede e 29,64 trilhões de requisições HTTP maliciosas.
O aumento mais expressivo ocorreu nos ataques de camada de rede extremamente grandes, acima de 1 Tbps, que cresceram 519% na comparação trimestral.
A empresa também observou alta nos ataques menos severos. Os ataques entre 500 Gbps e 1 Tbps aumentaram 143%, enquanto os que ficaram entre 100 e 500 Gbps subiram 105%.
Apesar do crescimento dos ataques muito grandes, a maioria dos incidentes continuou relativamente pequena e curta, segundo a Cloudflare. Em 96,62% dos casos, os ataques de camada de rede permaneceram abaixo de 50 Mbps, e 90,6% terminaram em até 10 minutos.
Já os ataques que duraram mais de três horas tiveram leve alta, passando de 0,387% no primeiro trimestre para 0,828% no segundo trimestre de 2026.
Os ataques DDoS na camada de rede subiram de 10,04 milhões para 13,17 milhões, um avanço de 31,2%, enquanto o volume de requisições HTTP maliciosas cresceu de 12,75 trilhões para 16,89 trilhões, alta de 32,4%.
A Cloudflare afirmou que a atividade geral de DDoS atingiu o pico em abril, com 6,46 trilhões de requisições HTTP de DDoS e 165 PB de tráfego de ataques na camada de rede.
Depois disso, houve uma queda relevante, que a empresa atribui de forma preliminar à operação internacional PowerOFF, voltada ao combate a serviços de DDoS sob demanda.
A operação resultou na prisão de quatro pessoas, na derrubada de 53 domínios e no envio de alertas para 75.000 usuários desses serviços.
Entre as tendências observadas no último trimestre, a Cloudflare destacou a mudança dos ataques para técnicas relacionadas a DNS e para métodos de reflexão e amplificação.
As inundações de DNS responderam por 40% dos ataques no segundo trimestre, acima dos 25,7% do primeiro trimestre. Juntas, as inundações de DNS e os ataques de amplificação de DNS representaram 34,3% dos ataques de camada de rede no primeiro semestre. Já as inundações de CLDAP cresceram 881,9% na comparação trimestral, e as inundações de UDP ocuparam o segundo lugar no segundo trimestre, com 14,06%.
Pesquisadores da Unit 42 também apontaram que a nova versão do botnet fortalece sua resiliência operacional ao adotar um mecanismo em camadas para a infraestrutura de command and control (C2), que usa o Ethereum Name Service (ENS) para obter o endereço de C2, um hidden service Tor .onion codificado no binário e um proxy local para rotear o tráfego entre a clearnet e a rede Tor, enquanto remove toda a funcionalidade de varredura, exploit e força bruta. A remoção desses módulos indica que os threat actors separaram o pipeline de propagação do payload principal, transferindo essa etapa para um loader externo durante o acesso inicial, enquanto o binário Kimwolf fica responsável pelos ataques DDoS e pela função de relay por proxy.
O Kimwolf é conhecido por mirar Android TV boxes desde agosto de 2025, enquanto sua versão para Linux, AISURU, foca principalmente dispositivos IoT Linux. O botnet está ativo pelo menos desde meados de 2024.
Em geral, a operação abusa de serviços de proxy residencial para alcançar Android TVs que saem de fábrica com o Android Debug Bridge (ADB) habilitado na porta 5555 em redes locais. A partir daí, instala malware capaz de conduzir ataques DDoS e atuar como relay para transportar tráfego malicioso.
Depois de iniciado, o malware tenta se disfarçar como processos legítimos do sistema Android, como “netd_service”, para passar despercebido. Entre os recursos observados na nova versão estão a realização de ataques de inundação HTTP/2 com a biblioteca nghttp2, além da construção de fingerprints completos de navegador que imitam o comportamento legítimo no nível do protocolo e dos cabeçalhos; o uso de serviços públicos legítimos de RPC do Ethereum para consultar registros de domínios ENS e resolver endereços de C2; um mecanismo de C2 de backup que usa um hidden service Tor .onion codificado no binário; uma arquitetura de proxy local que encaminha todo o tráfego de C2 por 127.0.0.1:23075, independentemente de o destino ser clearnet ou Tor; uma função de inundação UDP de alto desempenho, voltada especificamente para processadores ARM usados em Android TV boxes; e a consolidação de todos os comandos de ataque DDoS em 15 métodos numerados, ante 43 métodos nomeados por texto encontrados em versões anteriores.
Os operadores do Kimwolf também foram flagrados distribuindo pacotes Android APK que se disfarçam de um serviço de sistema chamado SystemService, verificam se há acesso root e executam um payload ELF incorporado no interior. Oito artefatos desse tipo foram identificados entre outubro e dezembro de 2025.
“O primeiro exemplo analisado, voltado para a arquitetura x86 e com um exploit Dirty COW, sugere que a família evoluiu da exploração tradicional em Linux para o atual modelo de propagação via ADB em Android”, afirmou a Unit 42. “A transição de libn[redacted]kernel.so para o nome menos chamativo libdevice.so em novembro de 2025, seguida de uma reversão em dezembro, indica ajustes ativos de segurança operacional.”
Por fim, em relação aos alvos, a Cloudflare informou que o setor de Mídia, Produção e Publicação recebeu a maior fatia das requisições HTTP de DDoS mitigadas no primeiro semestre de 2026, com 14,2%.
O setor governamental também registrou aumento relevante, algo que a Cloudflare associou a eventos geopolíticos, incluindo a operação militar dos EUA e de Israel contra o Irã, que teria impulsionado uma onda maior de hacktivism.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...