Dispositivos IoT industriais sem correção estão expondo fábricas inteligentes à extorsão de botnets comerciais e a severos períodos de inatividade operacional.
Os ambientes de tecnologia operacional estão conectando milhões de sensores inteligentes, atuadores conectados e câmeras IP à sua infraestrutura. Construir uma IIoT responsiva requer um exército de {hardware} de roteamento e gateways de borda para canalizar essa telemetria de volta aos servidores centrais. Esse {hardware} cria uma superfície de ataque enorme e mal defendida.
Trelix Atualmente, os pesquisadores estão rastreando o botnet Masjesu, uma ameaça que mostra exatamente como os cibercriminosos monetizam essa periferia específica da IoT. Ativo desde o início de 2023 e continuando em 2026, Masjesu opera como um serviço DDoS de aluguel, vendido diretamente aos compradores por meio de canais do Telegram.
O malware padrão geralmente causa infecções rápidas e barulhentas em computadores desktop ou servidores padrão. Masjesu se comporta de maneira diferente. Os operadores construíram-no para uma sobrevivência furtiva e a longo prazo, especificamente em sistemas IoT incorporados. Ele busca as arquiteturas de processador que executam rotineiramente medidores inteligentes, robótica de armazém e ferramentas de vigilância de instalações, incluindo i386, MIPS, ARM e AMD64.
As operadoras alugam essa rede IoT comprometida, dando aos clientes o poder de fogo para lançar inundações de rede que chegam a centenas de gigabits por segundo. Para uma instalação industrial que depende de fluxos contínuos de dados de IoT para logística automatizada, um impacto dessa botnet equivale a um tempo de inatividade incontrolável.
Unir sistemas operacionais legados a plataformas modernas de IIoT requer dispositivos de ponta que muitas vezes não possuem monitoramento de segurança nativo. Masjesu prospera nesses pontos cegos. Os gerentes de fábrica frequentemente hesitam em aplicar atualizações de firmware de rotina em dispositivos inteligentes periféricos, temendo que um patch possa interromper um processo de produção frágil. Os cibercriminosos confiam nesta hesitação para construir as suas botnets a partir de câmaras de vigilância esquecidas e sensores ambientais negligenciados.
Quando sensores inteligentes se tornam nós hostis
Conectar {hardware} de fábrica a conexões voltadas para a Web deixa lacunas exploráveis. Masjesu procura ativamente por esses pontos fracos, verificando endereços IP aleatórios para encontrar gateways IoT e sistemas embarcados não corrigidos.
As instalações implantam esses dispositivos para agregar leituras de temperatura, monitorar taxas de fluxo ou fornecer acesso remoto a prestadores de manutenção. Quando comprometidos, esses ativos periféricos transformam-se em nós hostis. Eles param de executar as funções industriais pretendidas e, em vez disso, atacam a rede host ou participam de ataques externos.
O quantity de tráfego gerado por esta botnet irá sobrecarregar redes industriais bem abastecidas. Em outubro de 2025, as operadoras exibiram um ataque de inundação ACK atingindo cerca de 290 gigabits por segundo, traduzindo-se em 290 milhões de pacotes por segundo. Se um fornecedor regional de serviços públicos ou um centro logístico altamente automatizado for atingido, a latência corta imediatamente a ligação entre os sensores físicos e a sala de controlo central.
As linhas de produção automatizadas precisam de troca constante de dados para funcionar com segurança. A inundação da rede interrompe as taxas de rendimento e coloca ativamente em risco a segurança do equipamento físico. Se os monitores conectados no chão de fábrica dedicarem seu poder de processamento a um ataque DDoS, os problemas da cadeia de suprimentos ocorrerão instantaneamente.
A botnet funciona em uma infraestrutura distribuída globalmente. A telemetria mostra que quase 50% do tráfego de ataque vem do Vietname, com o restante espalhado por redes na Ucrânia, Irão, Brasil, Quénia e Índia. Essa distribuição geográfica torna incrivelmente difícil para os firewalls corporativos padrão eliminarem o tráfego ruim sem bloquear também os dados operacionais legítimos provenientes de parceiros internacionais da cadeia de suprimentos. As equipes de segurança acabam lutando para manter o tempo de atividade enquanto analisam milhões de solicitações de IoT falsificadas.
Ocultando malware em arquitetura de baixo consumo de energia
Proteger uma frota de dispositivos IoT exige sustentabilidade de {hardware} e controles de acesso rigorosos. Masjesu quebra ambos ativamente.
O malware usa criptografia baseada em XOR para ocultar suas instruções de comando e controle, ocultando strings, configurações e dados de carga útil. Este método ignora facilmente as ferramentas básicas de detecção estática ocasionalmente implantadas em redes corporativas. A carga inicial é descriptografada apenas em tempo de execução, usando uma sequência XOR de vários estágios com chaves específicas para revelar domínios, endereços IP e caminhos de diretório.
Após a execução em um gateway ou sensor inteligente, o botnet inicia rotinas agressivas de persistência para sequestrar o {hardware}. Ele bifurca um novo processo e renomeia o caminho executável unique para se parecer com um vinculador dinâmico Linux padrão de 32 bits: /usr/lib/ld-unix.so.2. Em seguida, ele configura uma tarefa agendada, escrevendo um cron job que executa esse processo disfarçado a cada 15 minutos. O malware converte o processo em um daemon em segundo plano, permitindo que ele seja executado de forma invisível em sistemas operacionais IoT com poucos recursos e sobreviva aos ciclos de energia.
O processo renomeia seu valor de argumento novamente para /usr/lib/systemd/systemd-journald para se misturar ao fundo de um controlador industrial padrão. O malware ataca ativamente o ambiente host para se proteger. Ele mata processos rivais, especialmente aqueles com nomes de arquivos contendo a string i386e encerra ferramentas administrativas como wget, enrolare sshd.
A remoção do daemon de shell seguro impede intencionalmente que os engenheiros de TO façam login remotamente no {hardware} infectado para corrigir o problema. Em seguida, ele restringe as permissões de arquivo no diretório temporário compartilhado ao CHMOD 400, bloqueando o espaço para acesso somente leitura para manter controle absoluto sobre o dispositivo incorporado.
Cadeias de fornecimento de IoT fragmentadas e negligência de firmware
A infraestrutura física depende fortemente de um ecossistema misto de fornecedores de {hardware} IoT. Masjesu explora vulnerabilidades conhecidas em vários fabricantes importantes, comprovando o perigo de atraso na correção.
A rotina de propagação procura portas abertas vinculadas a perfis de {hardware} IoT específicos. Ele caça a porta 37215 para atingir gateways domésticos da Huawei, a porta 49152 para roteadores D-Hyperlink e a porta 80 ou 8080 para vulnerabilidades Netgear e GPON. Ele visa explicitamente serviços de endpoint conectados, incluindo NVRs Vacron, CCTV e sistemas de gravador de vídeo digital executados na porta 81, juntamente com serviços Common Plug and Play.
Depois de explorar uma vulnerabilidade, o dispositivo inteligente comprometido retorna para um servidor de comando e controle. As versões mais recentes da botnet dependem de uma configuração resiliente de vários domínios primários, como conn.elbbird.zip e conn.f12screenshot.xyzapoiado por endereços IP substitutos. O botnet outline um tempo limite de recebimento de 60 segundos no soquete e aguarda por uma carga criptografada validada. Ele elimina totalmente as cargas inválidas.
Os endpoints de IoT sequestrados respondem com seu tipo de arquitetura e o número de versão codificado 1.04 e, em seguida, implantam as inundações de rede. Dependendo dos comprimentos inteiros na carga útil, os ataques variam de inundações TCP e UDP padrão até inundações de encapsulamento de roteamento genérico e protocolo de área de trabalho remota. As cargas de exploração também usam um identificador de agente de usuário exclusivo rotulado masjesu.
Os operadores construíram esta ameaça para permanecerem fora do radar da retaliação militar ou federal. A análise da Trellix aponta que o malware usa um filtro de lista de bloqueio de endereços IP para evitar explicitamente redes militares, federais e educacionais.
Ao evitar alvos como o Departamento de Defesa dos EUA, os operadores evitam desencadear uma resposta coordenada de aplicação da lei internacional. Esta restrição calculada mantém a botnet a funcionar como uma ferramenta comercial lucrativa dirigida a redes de empresas privadas, deixando os diretores de OT a arcar com as consequências operacionais e financeiras de frotas de IoT inseguras.
Veja também: Como os gêmeos digitais estão mudando as operações de máquinas industriais
Quer saber mais sobre a IoT com os líderes do setor? Confira Exposição de tecnologia IoT acontecendo em Amsterdã, Califórnia e Londres. O evento abrangente faz parte TechEx e está co-localizado com outros eventos de tecnologia líderes, incluindo Expo IA e Massive Knowledge e o Expo Segurança Cibernética. Clique aqui para mais informações.
IoT Information é alimentado por Mídia TechForge. Discover outros eventos e webinars de tecnologia empresarial futuros aqui.