Fast Flux: O velho truque que ainda impulsiona os ciberataques modernos

Os cibercriminosos nem sempre precisam de novas técnicas. Às vezes, eles simplesmente encontram novas maneiras de usar as antigas. Por quase duas décadas, o "fast flux " ajudou os atacantes a manterem online sites de phishing, infraestrutura de malware e sistemas de comando e controle. Em vez de vincular um domínio malicioso a um único servidor fixo, os atacantes encaminham o tráfego por meio de um conjunto de dispositivos comprometidos em constante mudança.

Isso pode incluir um roteador em sua casa, um gateway de escritório, um modem, um computador ou outro dispositivo conectado à internet cujo proprietário pode não saber que foi infectado. Cada dispositivo atua brevemente como um repetidor, encaminhando o tráfego para a infraestrutura real do atacante antes que outro dispositivo o substitua. Se os defensores bloquearem um endereço, o domínio simplesmente apontará para outro lugar.

A infraestrutura de fluxo rápido está em constante movimento, tornando mais difícil rastreá-la, bloqueá-la e desativá-la.

O Fast Flux está se manifestando nos ciberataques atuais.

Em junho de 2026, pesquisadores relataram que o Silent Ransom Group estava usando uma rede Fast Flux para ocultar a infraestrutura que dava suporte
seus ataques nos setores jurídico, financeiro e de serviços profissionais.

Os nós estavam distribuídos por 18 países e 22 provedores de serviços de internet. Eles rotacionaram os registros DNS de dois domínios ligados ao grupo, dificultando a localização e o bloqueio dos sistemas por trás desses domínios.

O grupo, também conhecido como Luna Moth, Chatty Spider e UNC3753, obtém acesso por meio de engenharia social. Os atacantes se fazem passar por funcionários de TI, ligam para os funcionários, iniciam sessões de compartilhamento de tela ou instalam ferramentas de acesso remoto.

O O FBI também alertou que membros do grupo podem entrar em escritórios e usar dispositivos de armazenamento para roubar dados ou instalar malware. Uma vez dentro da rede, o grupo se movimenta lateralmente, rouba dados sensíveis e ameaça divulgá-los.

Construído para resistir à derrubada

Emabril de 2025, a NSA, a CISA, o FBI e parceiros internacionais alertaram que o fluxo rápido representava uma séria ameaça à segurança nacional. Grupos criminosos e patrocinados por estados usam isso para ocultar os sistemas por trás de phishing, malware, espionagem e atividades de comando e controle.

Os provedores de hospedagem à prova de balas também vendem infraestrutura para cibercriminosos e ignoram os esforços para desativá-la. O Fast Flux os ajuda a manter serviços maliciosos online, movimentando o tráfego por uma rede de sistemas em constante mudança.

Mantendo os ciberataques ativos

O FastFlux perdurou porque resolve um problema básico para os atacantes: como manter a conexão quando os defensores começam a bloquear sua infraestrutura.

“É uma camada de resiliência”, disse Rachna Srivastava, gerente sênior de marketing de produto da Illumio. “É um tipo de ataque de cauda longa, que continuará a afetar o hospedeiro meses depois.”

Essa resiliência tornou o Fast Flux útil em diversas áreas, como phishing, malware, ransomware, infraestrutura de crimes cibernéticos e espionagem ligada a Estados.

Fluxo rápido ao longo dos anos

• 2007 — Rock Phish
  O grupo Rock Phish tinha como alvo clientes de bancos com sites falsos. Os sites roubaram os dados de login. O Fast Flux os transferia entre computadores infectados, o que os ajudava a permanecer online.

• 2007–2008 — Storm Worm
  O Storm Worm se espalhou por meio de e-mails de spam com manchetes de notícias falsas e cartões de felicitações. Os links instalavam malware que atraía as vítimas para uma das maiores botnets de sua época. O Fast Flux rotacionava os endereços IP dos sites mais rapidamente do que as listas de bloqueio conseguiam acompanhar.

• 2009–2016 — Avalanche
  A Avalanche apoiou malware, phishing, spam e roubo bancário em mais de 180 países. O fluxo rápido ocultou a rede por trás das mudanças nos sistemas. Seu encerramento envolveu 30 países e mais de 800.000 domínios.

• 2020–2022 — Nefilim
  Nefilim teve como alvo grandes empresas. Roubou dados, bloqueou arquivos e exigiu pagamento. O fluxo rápido ajudou a ocultar os sistemas por trás dos ataques.

• 2021–2022 — Hive
  O Hive atingiu mais de 1.500 vítimas em mais de 80 países. Os alvos incluíam hospitais, escolas, bancos e infraestrutura crítica. O fluxo rápido ajudou a manter partes de sua rede ocultas.

• 2022-2023 — Gamaredon
  A Gamaredon usou spearphishing e malware para atacar organizações ucranianas, enquanto o DNS de fluxo rápido ajudou a ocultar e proteger sua infraestrutura de comando e controle, rotacionando rapidamente os endereços IP.

• 2024 — Rede Criminosa Não Atribuída
  Pesquisadores encontraram 193 domínios ligados a 2.960 endereços IP. A rede suportava malware, sites maliciosos e tráfego de comando e controle.

• 2025 — Atores Criminosos e Ligados ao Estado
  Agências dos EUA e aliadas alertaram que grupos criminosos e apoiados pelo Estado estavam usando o Fast Flux. Isso ajudou a ocultar phishing, malware, espionagem e sistemas de comando e controle.

• 2026 — Silent Ransom Group
  O Silent Ransom Group teve como alvo escritórios de advocacia e empresas nos setores financeiro, de saúde, de seguros e de hotelaria. Os atacantes se fizeram passar por funcionários de TI, roubaram dados e exigiram pagamento. O Fast Flux ocultou os sistemas por trás dos ataques.

Como identificar fluxo rápido

Fluxos rápidos são difíceis de parar porque a infraestrutura está em constante mudança. Cada endereço IP pode parecer um evento novo, mas a verdadeira ameaça reside no padrão por trás dessas mudanças.

Srivastava alertou que os defensores não podem investigar esse padrão manualmente.

“Se você começar a fazer isso manualmente, será ultrapassado”, disse ela.

Existem diversos sinais que podem revelar uma atividade de fluxo rápido:

• Valores de tempo de vida DNS muito curtos
• Solicitações repetidas para o mesmo domínio
• Um conjunto crescente de endereços IP não relacionados
• Ampla distribuição geográfica
•  Mudanças frequentes no servidor de nomes
• Comportamento incompatível do proxy ou do certificado

Nenhum desses sinais, por si só, comprova um fluxo rápido. Mas, em conjunto, podem demonstrar que um domínio está se comportando de uma maneira que não se encaixa nos padrões de tráfego típicos.

Por que a visibilidade é importante

As equipes de segurança precisam conectar a atividade do DNS com fluxos de rede, endpoints, processos e cargas de trabalho. Eles precisam saber qual processo solicitou o domínio, quais endereços IP foram retornados, qual sistema abriu a conexão e se esse tráfego se encaixa no mapa de dependências normal da carga de trabalho.

Sem esse contexto, as equipes ficam à procura de indicadores de curta duração. Com isso, eles podem ver qual carga de trabalho está se comunicando com infraestrutura suspeita e aonde essa carga de trabalho pode chegar em seguida.

Uma vez que um sistema é comprometido, essa técnica pode ajudar o invasor a continuar se comunicando com o servidor, roubar dados, distribuir malware ou procurar outra vítima. Também pode se misturar ao tráfego de navegação comum, permitindo que a conexão permaneça ativa muito tempo depois da primeira intrusão.

Como a segmentação impede isso

A segmentação não impede que um domínio malicioso alterne entre endereços IP externos. Contém o risco dentro do ambiente. As equipes podem isolar uma carga de trabalho afetada, restringir o tráfego leste-oeste e bloquear caminhos que não tenham finalidade comercial.

Eles também podem isolar ativos críticos, como controladores de domínio, planos de gerenciamento, aplicativos regulamentados e outros sistemas sensíveis. Um ponto de extremidade infectado não deve ter uma rota aberta para esses recursos.

As equipes podem usar regras de permissão granulares, políticas de negação padrão e quarentena rápida para controlar o raio de impacto. Eles podem então usar o mapa de dependências para restringir as políticas em torno das cargas de trabalho mais importantes, em primeiro lugar.

O objetivo não é prever todos os endereços IP que o atacante usará em seguida. O objetivo é garantir que um sistema comprometido não consiga transformar uma única conexão em um acesso mais amplo.

Como disse Srivastava: "A segmentação controlará tudo, independentemente do que essa infraestrutura de comando e controle de fluxo rápido fizer a seguir."

O Fast Flux mantém os atacantes conectados. Illumio impede que se espalhem.

Agende uma demonstração de contenção de violações para ver como a Illumio oferece às equipes de segurança a visibilidade necessária para detectar comportamentos suspeitos em cargas de trabalho e a segmentação para impedir a movimentação lateral antes que ela se transforme em uma violação.