Botnet Dysphoria controla quase 300 mil dispositivos e eleva patamar dos ataques DDoS
A botnet Dysphoria despontou como uma das principais ameaças atuais à infraestrutura de internet, após comprometer aproximadamente 296 mil dispositivos conectados em todo o mundo. Entre os equipamentos sequestrados estão roteadores domésticos e corporativos, câmeras IP, gateways de rede e diversos tipos de dispositivos Linux embarcados, muitos deles usados em ambientes de internet das coisas (IoT).
Esse enorme exército de máquinas zumbis é utilizado principalmente para a realização de ataques de negação de serviço distribuída (DDoS), capazes de derrubar serviços online ao sobrecarregar servidores com tráfego malicioso. Mais recentemente, os operadores da Dysphoria passaram a explorar também a função de proxy residencial, oferecendo o acesso à infraestrutura comprometida como uma espécie de rede de anonimato para outras atividades criminosas.
Evolução rápida a partir de famílias conhecidas
A Dysphoria começou a ser monitorada no primeiro trimestre de 2026 e, em pouco tempo, mostrou uma curva de crescimento agressiva. A botnet é descrita como uma evolução de famílias já conhecidas, como jackskid e fbot, das quais herdou técnicas de infecção e componentes de código. A partir dessa base, os operadores introduziram novos módulos, ampliaram a capacidade de comando e controle e incorporaram funcionalidades pensadas para garantir maior resiliência e alcance.
Pesquisadores de segurança observaram picos de até 239 mil dispositivos infectados ativos fora da China em um único dia, o que indica uma taxa de disseminação significativa. Esse número não representa o total de equipamentos comprometidos ao longo do tempo, mas sim a quantidade de bots simultaneamente disponíveis para receber ordens e participar de operações maliciosas.
Como a Dysphoria se espalha
A principal forma de propagação da Dysphoria continua sendo uma técnica clássica, porém ainda extremamente eficaz: ataques de força bruta contra serviços Telnet e SSH. Muitos roteadores, equipamentos IoT e dispositivos embarcados permanecem expostos à internet com senhas fracas ou credenciais padrão de fábrica. A botnet tenta automaticamente combinações comuns de usuário e senha até obter acesso, instalando então o malware responsável por integrar o equipamento à rede de bots.
Além da exploração de senhas fracas, a Dysphoria também tira proveito de vulnerabilidades conhecidas de execução remota de código em dispositivos IoT. Falhas em firmwares desatualizados permitem que o invasor envie comandos sem autenticação, faça o download de binários maliciosos e modifique configurações críticas. Muitas dessas brechas já possuem correções disponíveis pelos fabricantes, mas a baixa taxa de atualização de dispositivos conectados mantém um grande número de alvos permanentemente expostos.
Uso inovador de domínios em redes blockchain
Um dos pontos mais preocupantes da Dysphoria é a estratégia usada para localizar e manter online seus servidores de comando e controle (C2). Em vez de depender apenas de domínios tradicionais controlados por registradores convencionais, os operadores passaram a recorrer a domínios vinculados às redes Ethereum e Solana.
Esses domínios baseados em blockchain aumentam a resiliência da infraestrutura de C2 por serem mais difíceis de derrubar por meios tradicionais. Ao aproveitar o modelo descentralizado dessas redes, os criminosos conseguem trocar rapidamente os endereços associados, redirecionando a botnet para novos servidores sempre que percebem que estão sob investigação ou bloqueio. Essa abordagem complica o trabalho de equipes de resposta a incidentes e de provedores que tentam interromper a cadeia de comando da botnet.
Dispositivos comprometidos viram relays para esconder a origem
A Dysphoria não utiliza os dispositivos sequestrados apenas como força de ataque. Muitos deles funcionam como nós intermediários dentro da própria infraestrutura da botnet. O malware faz uso do protocolo UPnP (Universal Plug and Play) para abrir portas automaticamente em roteadores, criando túneis de comunicação que transformam conexões residenciais em relays de tráfego.
Na prática, isso significa que o tráfego malicioso pode passar por vários dispositivos comprometidos antes de chegar ao alvo, dificultando a identificação da fonte real do ataque. Essa técnica também torna mais complexa a tarefa de bloqueio por parte de provedores de internet, já que o fluxo aparente vem de milhares de conexões domésticas legítimas, espalhadas por diferentes países, em vez de poucos endereços concentrados.
Capacidade declarada: ataques de até 4 Tbps
Os operadores da Dysphoria anunciam capacidade para ataques DDoS de até 4 Tbps, um volume de tráfego capaz de desestabilizar até mesmo provedores de grande porte e serviços com boa estrutura de mitigação. Nos fóruns clandestinos em que a botnet é anunciada, são oferecidos diferentes “planos” de ataque, com variação de preço de acordo com a intensidade, duração e tipo de vetor utilizado (por exemplo, floods de HTTP, UDP, TCP, entre outros).
Esse modelo de “DDoS como serviço” reforça o caráter comercialmente estruturado da operação. Em vez de ser usada apenas pelos próprios operadores, a Dysphoria é alugada a outros criminosos interessados em derrubar concorrentes, extorquir empresas, sabotar plataformas de jogos ou simplesmente causar interrupções em serviços online. Esse formato aumenta o impacto da botnet, pois multiplica o perfil de atacantes que conseguem acessar sua infraestrutura.
Setores e alvos mais afetados
Até o momento, os alvos observados incluem principalmente provedores de acesso à internet, serviços de hospedagem e plataformas de jogos online em vários países. O segmento de games aparece com destaque entre os ataques documentados, uma vez que interrupções em servidores de jogo frequentemente geram grande frustração entre usuários e prejuízo de imagem para as empresas responsáveis.
Serviços financeiros, comércio eletrônico e plataformas de comunicação também são considerados alvos potenciais, especialmente em campanhas de extorsão. Em muitos casos, os criminosos enviam mensagens exigindo pagamento para interromper o ataque ou para não lançá-lo, em ameaças conhecidas como “DDoS de chantagem”.
Por que a Dysphoria é especialmente perigosa
Embora botnets de IoT não sejam novidade, a Dysphoria reúne um conjunto de características que amplia seu grau de risco: taxa elevada de disseminação global, uso de infraestrutura resiliente baseada em blockchain, função de proxy residencial e forte capacidade de volume em ataques.
Além disso, o uso de dispositivos domésticos como intermediários complica ações de mitigação, pois bloquear indiscriminadamente o tráfego pode afetar usuários legítimos. A combinação de automação avançada, foco em dispositivos pouco gerenciados e modelo de negócio profissionalizado cria um cenário no qual a botnet tende a se manter ativa por longos períodos, mesmo sob vigilância de pesquisadores e autoridades.
Medidas de proteção para empresas
Empresas que desejam reduzir o risco de serem alvo ou de servirem como parte da botnet precisam atuar em duas frentes: mitigação de DDoS e proteção de sua própria infraestrutura conectada.
Do ponto de vista de defesa contra ataques, é essencial contar com serviços de mitigação dedicados, políticas de rate limiting, regras de firewall otimizadas e monitoramento contínuo de tráfego para identificar picos anômalos. Redundância de infraestrutura, uso de balanceamento de carga e planos de resposta a incidentes específicos para DDoS também são fundamentais para manter serviços disponíveis durante uma ofensiva.
Em paralelo, organizações que utilizam grande quantidade de dispositivos IoT ou equipamentos de rede devem revisar rotinas de atualização de firmware, desativar serviços remotos desnecessários, substituir senhas padrão por credenciais fortes e, sempre que possível, segmentar a rede para isolar dispositivos críticos. Auditorias regulares ajudam a identificar ativos expostos com Telnet ou SSH liberados indevidamente para a internet.
Recomendações para usuários domésticos
Usuários comuns também desempenham um papel importante nesse cenário. Muitos dos dispositivos recrutados pela Dysphoria estão em residências ou pequenos escritórios, muitas vezes sem qualquer cuidado de segurança.
Algumas medidas básicas podem impedir que esses equipamentos sejam usados como parte de uma botnet:
– Alterar imediatamente as senhas padrão de roteadores e câmeras IP.
– Desativar o acesso remoto via Telnet e, se possível, via SSH quando não for realmente necessário.
– Manter o firmware do roteador e de outros dispositivos IoT sempre atualizado.
– Desligar funções de UPnP quando não forem estritamente necessárias, reduzindo a chance de abertura automática de portas.
– Evitar expor interfaces de administração diretamente à internet, preferindo acesso interno ou por VPN.
O que esperar para o futuro da Dysphoria
Diante do histórico de evolução rápida e da adoção de tecnologias descentralizadas para manter sua infraestrutura, é provável que a Dysphoria continue se adaptando às tentativas de derrubada e bloqueio. Novos vetores de ataque, módulos de evasão de detecção e exploração de outras falhas em equipamentos IoT tendem a surgir à medida que os operadores buscam ampliar o arsenal da botnet.
Para o ecossistema de segurança digital, o caso da Dysphoria reforça um alerta conhecido, mas muitas vezes negligenciado: dispositivos conectados, mesmo os aparentemente simples, como câmeras e roteadores domésticos, podem se transformar em peças estratégicas em operações criminosas em larga escala. A combinação de higiene básica de segurança, atualização constante de equipamentos e investimentos em mitigação de DDoS é hoje um dos poucos caminhos viáveis para reduzir o impacto desse tipo de ameaça.