O que é o verme cinzento e por que ainda importa
O verme cinzento, ou Greyworm, foi um dos primeiros worms de computador criados em 1988 por Vinnie Femia, cofundador da Stomp Inc. A ideia original era puramente acadêmica: provar que um programa podia se autorreplicar de máquina em máquina usando conexões telnet, sem intervenção humana. Ele não destruía dados, não criptografava arquivos e não cobrava resgate. Seu único comportamento era se espalhar, consumir recursos de rede e, eventualmente, travar sistemas mais antigos que não conseguiam lidar com o tráfego gerado. O que torna o verme cinzento relevante hoje não é o código em si — ele foi escrito para UNIX System V, usando C e shell scripts da época — mas o fato de ser um dos primeiros exemplos documentados de propagação automática via rede. Estudos acadêmicos ainda o citam como referência histórica para entender como worms modernos como o WannaCry e o NotPetya evoluíram a partir daquela lógica básica.
Por que pesquisadores ainda baixam e estudam o verme cinzento
Ninguém baixa o verme cinzento para executar em produção. O uso real é estritamente em ambientes isolados, para análise forense, aprendizado de comportamento de worms e teste de ferramentas de detecção. Um analista pode configurar uma máquina virtual com FreeBSD 2.x ou Linux antigo, colocar a rede em modo host-only, e estudar como o worm fazia varredura de portas, conexões telnet e escrita de arquivos .c na raiz do sistema. Em laboratório, o processo de análise leva aproximadamente 45 minutos a uma hora para quem já tem familiaridade com ferramentas como Binwalk, strings e Wireshark. Para iniciantes, o tempo sobe para cerca de duas horas, principalmente porque a documentação sobre o comportamento exato do worm é escassa em português e boa parte do material técnico disponível está em inglês obsoleto.
Como analisar o verme cinzento de forma segura
A primeira regra é isolamento absoluto. Não carregue o binário ou o código-fonte em nenhuma máquina que tenha acesso à internet real, nem em redes corporativas. Use uma VM com rede desativada ou em modo NAT fechado. Eu já vi analistas subestimarem isso e acabarem conectando a máquina de análise à rede doméstica sem perceber. O worm não precisa de internet ativa para se propagar dentro do laboratório — ele basta encontrar outra máquina vulnerável na mesma sub-rede. Depois do ambiente pronto, o fluxo típico é:
Executar strings no binário para identificar hardcoded IPs, caminhos de arquivo e strings de texto que o worm deixa para trás. Isso revela rapidamente quais máquinas ele tentava infectar e qual era o payload principal. Fazer uma extração do código-fonte quando disponível, pois o verme cinzento original distribuía arquivos .c junto com o binário. Analisar o código fonte revela que a lógica de propagação é surpreendentemente simples: ele abria uma conexão telnet, enviava comandos para criar e executar um script de infecção, e depois se desconectava. Nada de ofuscação avançada, nada de criptografia. Isso é exatamente o que torna o worm útil para estudo, não para defesa contra ameaças modernas. Registrar o comportamento de rede com Wireshark ou tcpdump. O verme cinzento gera picos de tráfego TCP na porta 23, que é a porta padrão do telnet. Se você estiver analisando em uma rede maior, esse padrão é facilmente identificável. O problema é que muitos worms modernos imitam esse comportamento justamente para confundir analistas iniciantes, então não assuma que todo tráfego na porta 23 é verme cinzento. Eu levei duas semanas para perceber isso durante uma análise, porque um worm que encontrei em 2019 usava exatamente o mesmo padrão de conexão telnet mas tinha lógica de propagação completamente diferente. A lição é: nunca confie apenas no padrão de tráfego. Sempre confirme com análise estática do binário.
👉 Clique no botão abaixo para saber mais sobre o assunto!
Dicas práticas que ninguém ensina
O verme cinzento deixa rastros específicos nos sistemas infectados. Arquivos com extensão .c aparecem em diretórios temporários e no home directory do usuário afetado. O nome do arquivo segue um padrão previsível, geralmente baseado no hostname da máquina. Se você está caçando infecções antigas em servidores legacy, saber isso economiza horas de busca manual. Outro detalhe importante: o worm original tinha um bug conhecido que causava múltiplas cópias de si mesmo em sistemas com mais de uma interface de rede. Isso significava que a taxa de propagação não era linear, mas exponencial em certos cenários. Para fins de simulação, isso é relevante porque mostra como vulnerabilidades de implementação podem transformar um worm lento em uma ameaça rápida, mesmo sem mudanças no código-fonte principal.
Se você quer testar o comportamento do verme cinzento em ambiente controlado, existem repositórios acadêmicos que hospedam cópias do código-fonte original para fins educacionais. Procure porGreyworm original source code archive nos repositórios da Internet Society ou em arquivos da Computer History Museum. Evite downloads de sites de terceiros sem verificação de hash, porque há várias versões modificadas circulando que não têm relação com o worm original e podem conter payloads maliciosos reais.
Limitações e alternativas
O verme cinzento não é uma ferramenta de teste moderna. Ele não usa técnicas de persistência avançadas, não contorna firewalls atuais e não se propaga por protocolos modernos como SMB ou HTTP. Se o seu objetivo é estudar propagação de worms contemporâneos, existem simulações muito mais adequadas disponíveis em plataformas como o Malware Unicorn ou em laboratórios da SANS Institute. Também é importante notar que analisar o verme cinzento sem supervisão adequada pode levar a falsos positivos em ferramentas de detecção. Muitos antivirus e sistemas IDS marcam o código-fonte do worm como ameaça, mesmo quando ele está sendo executado em isolamento total. Isso pode causar confusão durante análise forense real, onde você precisa distinguir entre código histórico e malware ativo. Configure exceções no seu SIEM antes de começar, senão você vai perder tempo apagando alertas falsos.
Em resumo, o verme cinzento permanece como um artefato histórico útil para quem estuda evolução de ameaças, mas não substitui ferramentas e laboratórios modernos de segurança cibernética. Estude-o com responsabilidade, mantenha tudo isolado e use o conhecimento para entender padrões, não para replicá-los fora do laboratório.
