# Mirai > Tipo: **botnet IoT** · [Wikipedia](https://en.wikipedia.org/wiki/Mirai_(malware)) · [Cloudflare Analysis](https://blog.cloudflare.com/inside-mirai-the-infamous-iot-botnet-a-retrospective-analysis/) ## Visão Geral [[mirai|Mirai]] e um malware de botnet que infecta dispositivos IoT (roteadores, cameras de segurança, DVRs) com Linux embarcado, recrutando-os para lancamento de ataques DDoS de escala massiva. Descoberto pelo grupo de pesquisa MalwareMustDie em agosto de 2016, o Mirai rapidamente se tornou o botnet IoT mais impactante da historia, atingindo mais de 600.000 dispositivos no pico em novembro de 2016. O nome vem da serie de anime jáponesa *Mirai Nikki* (2011). O Mirai foi criado por Paras Jha (alias "Anna-senpai") como ferramenta de servico DDoS-for-hire para o mercado de jogos online, mas seu impacto foi muito alem do planejado. Em outubro de 2016, o botnet foi usado para derrubar o provedor de DNS [[dyn-ddos-2016|Dyn]], tornando inacessiveis GitHub, Twitter, Netflix, Reddit e dezenas de outros servicos por horas. O ataque foi o maior ataque DDoS documentado até então, atingindo 1,2 Tbps. O código-fonte do Mirai foi públicado no Hackforums em setembro de 2016 pelo proprio autor, precipitando a proliferacao de dezenas de variantes. Pesquisadores documentaram mais de 33 clusters independentes de infraestrutura C2 e mais de 50 variantes distintas ao longo dos anos seguintes, cada uma incorporando novas vulnerabilidades e alvos. Em 2025, variantes como Aisuru (300.000+ dispositivos) ainda produzem ataques recordes - 31,4 Tbps foram bloqueados pela Cloudflare em fevereiro de 2026. **Plataformas:** Linux (dispositivos IoT embarcados - roteadores, cameras, DVRs) ## Como Funciona A arquitetura do Mirai e composta por dois módulos principais: **Módulo de Replicacao:** Realiza varredura assincrona e sem estado de endereco IPv4 aleatorios nas portas Telnet TCP/23 e TCP/2323. Ao identificar um dispositivo responsivo, tenta login por forca bruta usando uma lista codificada de 62 pares de usuario/senha padrao de fabricantes IoT. Após comprometer o dispositivo, reporta ao servidor C2 para que o payload atual sejá instalado. O malware se autodestroi após execução (deleta o binario) e ofusca o nome do processo com string alfanumerica aleatoria. **Módulo de Ataque:** Recebe comandos do servidor C2 para lancar DDoS contra alvos específicados. Suporta múltiplos vetores: SYN flood, UDP flood, HTTP GET/POST flood, GRE flood, ACK flood, e ataques DNS "Water Torture". A diversidade de métodos permite ataques volumetricos, de camada de aplicação e de exaustao de estado TCP. **Ciclo de vida do bot:** 1. Varredura TCP/SYN em IPs aleatorios (telnet 23/2323) 2. Forca bruta com 62 credenciais padrao IoT 3. Relato ao servidor de loader com IP e credenciais 4. Download e execução do payload do Mirai 5. Eliminacao de processos concorrentes (outros malwares, SSH) 6. Listagem na base de bots do C2 7. Aguarda comandos de ataque ## Attack Flow ```mermaid graph TB A["🔍 Varredura IoT<br/>TCP SYN em IPs aleatorios<br/>Portas 23 e 2323 Telnet"] --> B["🔑 Forca Bruta<br/>62 credenciais padrao IoT<br/>ex: admin/admin, root/xc3511"] B --> C["📡 Infecção<br/>Download payload Mirai<br/>Relato ao servidor C2"] C --> D["🤖 Bot Ativo<br/>Deleta binario<br/>Ofusca processo"] D --> E["📨 Comando DDoS<br/>C2 envia alvo<br/>e tipo de ataque"] E --> F["💣 Ataque DDoS<br/>SYN/UDP/HTTP flood<br/>até 1+ Tbps"] classDef scan fill:#1a5276,color:#fff,stroke:#154360 classDef brute fill:#7f8c8d,color:#fff,stroke:#626567 classDef infect fill:#c0392b,color:#fff,stroke:#922b21 classDef bot fill:#8e44ad,color:#fff,stroke:#6c3483 classDef cmd fill:#d35400,color:#fff,stroke:#a04000 classDef ddos fill:#922b21,color:#fff,stroke:#6e2318 class A scan class B brute class C infect class D bot class E cmd class F ddos ``` ## Timeline ```mermaid timeline title Mirai - Historia e Variantes 2016-08 : Descoberto pelo MalwareMustDie 2016-09 : Ataque a KrebsOnSecurity (623 Gbps) e OVH (1 Tbps) 2016-09 : Código-fonte publicado no Hackforums 2016-10 : Derruba DNS Dyn - GitHub, Netflix, Twitter offline 2016-11 : Pico 600 000 dispositivos infectados 2016-11 : Deutsche Telekom - 900 000 roteadores derrubados 2017-12 : Variante Satori explora CVE-2017-17215 Huawei 2018-01 : Variantes Masuta e PureMasuta (D-Link HNAP) 2018-03 : Variante OMG transforma bots em proxies 2020 : Variante Moobot ativa 2024 : Variante Gayfemboy - sistemas globais 2024-10 : Recorde 5,6 Tbps por variante Mirai (13 000 dispositivos) 2025 : Variante Aisuru - 300 000 dispositivos, ataque 31,4 Tbps ``` ## Técnicas MITRE ATT&CK | Técnica | Descrição | |---------|-----------| | [[t1110-001-password-guessing\|T1110.001]] | Password Guessing - forca bruta com credenciais padrao | | [[t1498-network-denial-of-service\|T1498]] | Network Denial of Service - ataques DDoS massivos | | [[t1498-001-direct-network-flood\|T1498.001]] | Direct Network Flood - SYN/UDP/HTTP flood | | [[t1595-002-vulnerability-scanning\|T1595.002]] | Vulnerability Scanning - varredura Internet-wide | | [[t1059-004-unix-shell\|T1059.004]] | Unix Shell - execução de comandos em dispositivos Linux | | [[t1070-indicator-removal\|T1070]] | Indicator Removal - deleta binario após execução | | [[t1105-ingress-tool-transfer\|T1105]] | Ingress Tool Transfer - download payload do servidor C2 | ## Variantes Principais | Variante | Ano | Inovacao | |----------|-----|----------| | Satori | 2017 | Explora CVE-2017-17215 (Huawei) e CVE-2014-8361 - 280k em 12h | | Masuta / PureMasuta | 2018 | Explora D-Link HNAP (CVE EDB-38722) | | OMG | 2018 | Transforma bots em proxies HTTP/SOCKS via 3proxy | | Wicked | 2018 | Explora Netgear, CCTV-DVRs (portas 8080, 8443, 80, 81) | | Moobot | 2020 | Ativa em roteadores e cameras | | Gayfemboy | 2024 | Multiplas CVEs, sistemas globais | | Aisuru | 2024-2025 | 300k+ dispositivos, recorde 31,4 Tbps (fev/2026) | ## Relevância LATAM/Brasil O Brasil tem historico documentado como um dos principals paises-fonte de infeccoes Mirai. Na análise original de 2016 (USENIX Security/Google Research), Brasil, Colombia e Vietna responderam por **41,5% de todas as infeccoes**, com o Brasil liderando com 15% do total. Ataques a servidores Minecraft brasileiros hospedados na Psychz Networks foram alvos recorrentes de clusters Mirai. A Kaspersky identificou o Brasil entre os principals paises afetados por novas variantes Mirai em 2025. O ecossistema IoT brasileiro - com milhões de roteadores residenciais, cameras de segurança e DVRs sem atualizacoes de firmware e com credenciais padrao - e um vetor critico. Operadoras como Claro, Vivo e TIM possuem bases imensas de equipamentos CPE vulneraveis. O [[cert-br|CERT.br]] emitiu múltiplos alertas sobre infeccoes Mirai em redes brasileiras e a necessidade de gestao de credenciais em dispositivos IoT. > [!warning] Risco para ISPs brasileiros > Dispositivos CPE de clientes residenciais (roteadores, ONTs) com credenciais padrao sao o principal vetor de infecção. ISPs brasileiros devem implementar varredura proativa de seus ranges e notificação de assinantes sobre dispositivos comprometidos, conforme diretrizes do CERT.br. ## Detecção e Mitigação **Detecção de infecção ativa:** - Monitorar trafego de saida para portas TCP/23, TCP/2323 em escala anormal (indicador de varredura Mirai) - Alertas em sistemas IDS/IPS para padroes de brute-force Telnet - Análise de fluxo de rede (NetFlow/IPFIX) para detectar picos anomalos de trafego de saida - Identificar beaconing de bots Mirai via DNS para dominios C2 conhecidos **Mitigação:** - Alterar credenciais padrao de TODOS os dispositivos IoT imediatamente após instalacao - Desabilitar Telnet e SSH quando nao necessários; usar SSH com chave pública - Manter firmware atualizado em roteadores, cameras e DVRs - ISPs: implementar ACLs bloqueando TCP/23 e TCP/2323 entre clientes - Segmentar redes IoT em VLAN separada com acesso restrito a Internet ## Referências - [Cloudflare - Inside the infamous Mirai IoT Botnet: A Retrospective Analysis](https://blog.cloudflare.com/inside-mirai-the-infamous-iot-botnet-a-retrospective-analysis/) - [USENIX Security 2017 - Understanding the Mirai Botnet](https://www.usenix.org/system/files/conference/usenixsecurity17/sec17-antonakakis.pdf) - [Wikipedia - Mirai (malware)](https://en.wikipedia.org/wiki/Mirai_(malware)) - [Unit 42 - IoT Under Siege: Mirai Campaign 2023](https://unit42.paloaltonetworks.com/mirai-variant-targets-iot-exploits/) - [Kaspersky - New Mirai Botnet Version 2025](https://me-en.kaspersky.com/about/press-releases/kaspersky-discovers-multiple-iot-devices-targeted-with-a-new-mirai-botnet-version) - [CERT.br - Alertas Mirai](https://www.cert.br/)