← Voltar ao blog

Briefing de segurança, 19 de abril de 2026: RCE no protobuf.js, Mirai Nexcorium e Operation PowerOFF

O briefing de segurança de hoje reúne três sinais concretos: uma falha crítica de execução de código no protobuf.js com PoC público, exploração com Mirai de DVRs TBK e roteadores envelhecidos, e uma ofensiva global contra o ecossistema de DDoS-for-hire.

---

---

1. protobuf.js entrou na fila urgente de dependências

A falha crítica do protobuf.js, rastreada como GHSA-xq3m-2v4x-88gg, pode levar à execução remota de código quando aplicações carregam esquemas influenciados por um atacante. A Endor Labs diz que a exploração é direta porque a geração dinâmica insegura permite injetar código por meio de identificadores maliciosos. A biblioteca está presente em muitas stacks JavaScript e gira em torno de 50 milhões de downloads semanais no npm.

• Atualize para 8.0.1 ou 7.5.5 e verifique também dependências transitivas.
• Trate o carregamento de esquemas como entrada não confiável e prefira esquemas pré-compilados ou estáticos em produção.
• Se sua aplicação decodifica definições protobuf fornecidas por usuários, assuma que o impacto pode alcançar segredos, bancos de dados e serviços internos.

---

2. Operadores de Mirai continuam colhendo IoT antigo

A Fortinet afirma que a variante Mirai Nexcorium explora a CVE-2024-3721 em DVRs TBK e combina esse acesso com brute force e lógica antiga de exploração da Huawei. A Palo Alto Networks também viu tentativas contra roteadores TP-Link em fim de vida. A lição é a mesma: appliances antigos expostos à internet viram estoque barato para botnets quando patching e higiene de credenciais apodrecem.

• Corrija ou isole imediatamente os DVRs TBK afetados e substitua equipamentos TP-Link sem suporte.
• Audite credenciais padrão, exposição Telnet e persistência inesperada em cron ou systemd.
• Trate dispositivos expostos de vigilância e filiais como superfície ativa de intrusão.

---

3. A Operation PowerOFF elevou o custo do abuso DDoS-for-hire

A Operation PowerOFF, apoiada pela Europol, apreendeu 53 domínios, expôs bancos de dados ligados a mais de 3 milhões de contas criminosas e atingiu serviços usados por mais de 75 mil clientes. O sinal defensivo importante não é que o DDoS acabou, mas que a pressão sobre a infraestrutura booter está subindo, o que pode provocar migração, retaliação ou ruído temporário.

• Observe mudanças curtas para provedores alternativos, painéis recém-registrados ou canais de revenda no Telegram.
• Preserve logs e comunicações com clientes se surgirem extorsões ou histórias de “stress test” após essa onda.
• Use esta janela para revisar rate limiting, filtragem upstream e contatos de incidente antes que outro clone ocupe o espaço.

---

O que as equipes de segurança devem fazer hoje

1. Corrigir primeiro a exposição do protobuf.js em serviços JavaScript expostos à internet ou multi-tenant.
2. Levantar um inventário de DVRs, roteadores e dispositivos ainda acessíveis com credenciais fracas ou Telnet.
3. Perguntar às equipes de rede e SOC se os limiares de monitoramento DDoS precisam de ajuste temporário após a PowerOFF.
4. Enviar uma nota simples para a liderança: risco de dependências, risco de botnet IoT e turbulência no mercado DDoS são problemas diferentes e precisam de donos diferentes.

---

Bottom line: Resumo final: o cenário de hoje é ao mesmo tempo um problema de stack, de borda e de mercado. Corrija a biblioteca, limpe os appliances e não assuma que apreensões significam redes silenciosas.