Fast Flux: O velho truque que ainda impulsiona os ciberataques modernos

Cybercriminals don’t always need new techniques. Sometimes, they simply find new ways to use old ones. For nearly two decades, “fast flux” has helped attackers keep phishing sites, malware infrastructure, and command-and-control systems online. Instead of tying a malicious domain to a single fixed server, attackers route traffic through a constantly changing pool of compromised devices.

Isso pode incluir um roteador em sua casa, um gateway de escritório, um modem, um computador ou outro dispositivo conectado à internet cujo proprietário pode não saber que foi infectado. Cada dispositivo atua brevemente como um repetidor, encaminhando o tráfego para a infraestrutura real do atacante antes que outro dispositivo o substitua. Se os defensores bloquearem um endereço, o domínio simplesmente apontará para outro lugar.

A infraestrutura de fluxo rápido está em constante movimento, tornando mais difícil rastreá-la, bloqueá-la e desativá-la.

O Fast Flux está se manifestando nos ciberataques atuais.

In June 2026, researchers reported that the Silent Ransom Group was using a fast flux network to hide infrastructure supporting its attacks across the legal, financial, and professional services sectors.

Os nós estavam distribuídos por 18 países e 22 provedores de serviços de internet. Eles rotacionaram os registros DNS de dois domínios ligados ao grupo, dificultando a localização e o bloqueio dos sistemas por trás desses domínios.

The group, also known as Luna Moth, Chatty Spider, and UNC3753, gains access through social engineering. Attackers pose as IT staff, call employees, launch screen-sharing sessions, or install remote-access tools.

O FBI has also warned that group members may enter offices and use storage devices to steal data or install malware. Once inside the network, the group moves laterally, steals sensitive data, and threatens to publish it.

Construído para resistir à derrubada

‍‍In April 2025, the NSA, CISA, FBI, and international partners warned that fast flux posed a serious national security threat. Criminal and state-backed groups use it to hide the systems behind phishing, malware, spying, and command-and-control activity.

Bulletproof hosting providers also sell infrastructure to cybercriminals and ignore efforts to shut it down. Fast flux helps them keep malicious services online by moving traffic across a changing network of systems.

Mantendo os ciberataques ativos

O FastFlux perdurou porque resolve um problema básico para os atacantes: como manter a conexão quando os defensores começam a bloquear sua infraestrutura.

“É uma camada de resiliência”, disse Rachna Srivastava, gerente sênior de marketing de produto da Illumio. “É um tipo de ataque de cauda longa, que continuará a afetar o hospedeiro meses depois.”

That resilience has made fast flux useful across phishing, malware, ransomware, cybercrime infrastructure, and state-linked espionage.

Fluxo rápido ao longo dos anos

• ‍2007 — Rock Phish
  Rock Phish targeted bank customers with fake websites. The sites stole login details. Fast flux moved them across infected computers, which helped them stay online.

• ‍2007–2008 — Storm Worm
  Storm Worm spread through spam emails with fake news headlines and greeting cards. The links installed malware that pulled victims into one of the largest botnets of its era. Fast flux rotated the sites' IP addresses faster than blocklists could keep up.

• ‍2009–2016 — Avalanche
  Avalanche supported malware, phishing, spam, and bank theft in more than 180 countries. Fast flux hid the network behind changing systems. Its shutdown involved 30 countries and more than 800,000 domains.

• ‍2020–2022 — Nefilim
  Nefilim targeted large companies. It stole data, locked files, and demanded payment. Fast flux helped hide the systems behind the attacks.

• ‍2021–2022 — Hive
  Hive hit more than 1,500 victims in over 80 countries. Targets included hospitals, schools, banks, and critical infrastructure. Fast flux helped keep parts of its network hidden.

• ‍2022-2023 — Gamaredon
  Gamaredon used spearphishing and malware to target Ukrainian organizations, while fast flux DNS helped hide and protect its command-and-control infrastructure by rapidly rotating IP addresses.

• ‍2024 — Unattributed Criminal Network
  Researchers found 193 domains tied to 2,960 IP addresses. The network supported malware, harmful websites, and command-and-control traffic.

• ‍2025 — Criminal and State-Linked Actors
  U.S. and allied agencies warned that criminal and state-backed groups were using fast flux. It helped hide phishing, malware, spying, and command-and-control systems.

• ‍2026 — Silent Ransom Group
  Silent Ransom Group targeted law firms and companies in finance, health care, insurance, and hospitality. Attackers posed as IT staff, stole data, and demanded payment. Fast flux hid the systems behind the attacks.

Como identificar fluxo rápido

Fluxos rápidos são difíceis de parar porque a infraestrutura está em constante mudança. Cada endereço IP pode parecer um evento novo, mas a verdadeira ameaça reside no padrão por trás dessas mudanças.

Srivastava alertou que os defensores não podem investigar esse padrão manualmente.

“Se você começar a fazer isso manualmente, será ultrapassado”, disse ela.

Existem diversos sinais que podem revelar uma atividade de fluxo rápido:

• Valores de tempo de vida DNS muito curtos
• Solicitações repetidas para o mesmo domínio
• Um conjunto crescente de endereços IP não relacionados
• Ampla distribuição geográfica
•  Mudanças frequentes no servidor de nomes
• Comportamento incompatível do proxy ou do certificado

Nenhum desses sinais, por si só, comprova um fluxo rápido. Mas, em conjunto, podem demonstrar que um domínio está se comportando de uma maneira que não se encaixa nos padrões de tráfego típicos.

Por que a visibilidade é importante

As equipes de segurança precisam conectar a atividade do DNS com fluxos de rede, endpoints, processos e cargas de trabalho. Eles precisam saber qual processo solicitou o domínio, quais endereços IP foram retornados, qual sistema abriu a conexão e se esse tráfego se encaixa no mapa de dependências normal da carga de trabalho.

Sem esse contexto, as equipes ficam à procura de indicadores de curta duração. Com isso, eles podem ver qual carga de trabalho está se comunicando com infraestrutura suspeita e aonde essa carga de trabalho pode chegar em seguida.

Uma vez que um sistema é comprometido, essa técnica pode ajudar o invasor a continuar se comunicando com o servidor, roubar dados, distribuir malware ou procurar outra vítima. Também pode se misturar ao tráfego de navegação comum, permitindo que a conexão permaneça ativa muito tempo depois da primeira intrusão.

Como a segmentação impede isso

A segmentação não impede que um domínio malicioso alterne entre endereços IP externos. Contém o risco dentro do ambiente. As equipes podem isolar uma carga de trabalho afetada, restringir o tráfego leste-oeste e bloquear caminhos que não tenham finalidade comercial.

Eles também podem isolar ativos críticos, como controladores de domínio, planos de gerenciamento, aplicativos regulamentados e outros sistemas sensíveis. Um ponto de extremidade infectado não deve ter uma rota aberta para esses recursos.

As equipes podem usar regras de permissão granulares, políticas de negação padrão e quarentena rápida para controlar o raio de impacto. Eles podem então usar o mapa de dependências para restringir as políticas em torno das cargas de trabalho mais importantes, em primeiro lugar.

O objetivo não é prever todos os endereços IP que o atacante usará em seguida. O objetivo é garantir que um sistema comprometido não consiga transformar uma única conexão em um acesso mais amplo.

Como disse Srivastava: "A segmentação controlará tudo, independentemente do que essa infraestrutura de comando e controle de fluxo rápido fizer a seguir."

O Fast Flux mantém os atacantes conectados. Illumio impede que se espalhem.

Schedule a breach containment demo to see how Illumio gives security teams the visibility to detect suspicious workload behavior and the segmentation to stop lateral movement before it becomes a breach.