Descoberta e escopo da ameaça
Um novo framework de ataque, denominado NULLZEREPTOOL, foi identificado por pesquisadores da Flare, revelando uma infraestrutura sofisticada que transforma um bot do Telegram em um painel de controle remoto para campanhas de negação de serviço distribuído (DDoS). A descoberta ocorreu após a flagração de um único post no Pastebin durante o monitoramento contínuo de sites de paste, expondo o código-fonte Python completo para um bot gerenciado por Telegram.
O que inicialmente parecia ser um script de baixo nível rapidamente revelou um design mais complexo, combinando um motor DDoS comprovado com módulos experimentais para interrupção sem fio e manipulação de credenciais. A análise estática confirmou que o NULLZEREPTOOL se comporta como um painel DDoS controlado por Telegram, em vez de uma botnet clássica de auto-propagação.
Vetor e exploração
O motor DDoS depende de um dicionário METHODS que mapeia 20 nomes de ataque para funções de worker dedicadas, cada uma executando em seu próprio thread e percorrendo rotinas de inundação específicas, como HTTP GET, pacotes UDP ou o padrão "combo" misto. O combo_worker é o mais agressivo, agrupando quatro solicitações HTTP, um datagrama UDP e um handshake TCP em uma única passagem.
Para sustentar essas inundações, o NULLZEREPTOOL implementa um pipeline de proxy em múltiplas etapas que colhe proxies HTTP gratuitos de sete fontes, incluindo api.proxyscrape.com, proxylist.geonode.com e free-proxy-list.net. Cada proxy é testado contra httpbin.org/ip com timeouts rigorosos, e apenas respondedores rápidos são escritos em proxy.txt e mantidos em um pool em memória para ataques ao vivo.
Impacto e alcance
Além da inundação, a variante posterior do NULLZEREPTOOL introduz rotinas de ataque WiFi e Bluetooth que envolvem ferramentas externas como aireplay-ng, netsh wlan, nmcli, hcxdumptool, hcxpcapngtool e hashcat. Esses módulos podem desautenticar clientes, ler senhas de WiFi salvas e tentar a quebra de dicionário de handshakes capturados.
O framework também define uma estrutura BOTNET_HIERARCHY com endpoints Flask como /slave_register, /slave_get_task e /slave_report, além de comandos do Telegram para criar tarefas como wifi_scan, browser_steal e full_steal. No entanto, a análise da Flare não encontrou lógica de coleta de senhas do navegador implementada, e o binário cliente ausente significa que essa arquitetura existe apenas na teoria hoje.
Medidas de mitigação recomendadas
Os analistas da Flare recomendam que as equipes de segurança monitorem métodos HTTP mistos com cabeçalhos aleatórios, rajadas de UDP e TCP de alto volume nas portas 80 e 443, e tráfego de amplificação DNS ou NTP atingindo resolvers como 8.8.8.8, 1.1.1.1, time.google.com e pool.ntp.org.
As organizações devem também estabelecer o comportamento normal do aplicativo, implantar proteções fortes de DDoS e camada 7, e estar prontas para rastrear inundações através das camadas de proxy, em vez de focar apenas em endereços IP únicos. A defesa mais eficaz começa cedo com monitoramento contínuo de sites de paste públicos, fóruns da dark web e canais do Telegram.
Indicadores de Comprometimento (IoCs)
Os indicadores incluem domínios como shopmuabancf.com, shopbloxfruits.com e trangchubloxfruit.com, além de URLs de fontes de proxy como api.proxyscrape.com e proxylist.geonode.com. Arquivos locais como proxy.txt e c2.db (SQLite) também são indicadores chave. Credenciais hard-coded incluem BOT_TOKEN e ADMIN_ID = 7593738229.
O que os CISOs devem fazer imediatamente
1. Implementar monitoramento de tráfego de rede para padrões de DDoS incomuns e uso de proxies rotativos.
2. Bloquear conexões de saída para serviços de paste públicos se não forem necessários.
3. Revisar logs de autenticação do Telegram para detectar comandos não autorizados.
4. Atualizar regras de WAF para detectar padrões de ataque combo e amplificação DNS/NTP.
5. Considerar a segmentação de rede para limitar o impacto de possíveis botnets WiFi/Bluetooth.