Dysphoria: a botnet que esconde o C2 na blockchain e já domina 200 mil aparelhos

Uma nova rede de dispositivos comprometidos, batizada de Dysphoria, terá infetado cerca de 200 mil equipamentos de Internet das Coisas (IoT) em todo o mundo para lançar ataques de negação de serviço distribuída (DDoS) e operações de encaminhamento de tráfego. Segundo os investigadores da QiAnXin XLab, a Dysphoria evoluiu a partir do malware «jackskid» e «fbot», acrescentando um mecanismo encoberto de resolução de comando e controlo (C2) baseado em blockchain: usa domínios Ethereum ENS e Solana SNS para obter informação de infraestrutura, enquanto os endereços de C2 são ocultados dentro de cadeias IPv6 falsas e recuperados através de um algoritmo próprio de transformação de bytes. O caso ilustra uma tendência crescente de resiliência das botnets de IoT face às operações policiais.

O que é a Dysphoria e de onde vem

A Dysphoria é uma família de malware para dispositivos de Internet das Coisas rastreada em conjunto pelo CNCERT (a equipa de resposta a emergências informáticas da China) e pela XLab, o laboratório de investigação de segurança da QiAnXin (QAX). Segundo estas equipas, a botnet adotou serviços de nomes baseados em blockchain e transformou dispositivos infetados em relays depois de uma operação policial em março ter atingido a infraestrutura do JackSkid.

De acordo com o relatório da XLab, a empresa acompanha esta família emergente desde o primeiro trimestre de 2026 e o número de bots ultrapassa os 200 mil, tendo a família sofrido atualizações frequentes de variantes em poucos meses. Os investigadores detetaram a Dysphoria pela primeira vez a 25 de março e identificaram múltiplas iterações que acrescentaram atualizações significativas, como um algoritmo de aquisição de C2, suporte multi-cadeia, novos domínios e a separação funcional entre as variantes de relay e de DDoS.

Importa contextualizar a escala: os números da Dysphoria são substanciais, mas ficam muito aquém das maiores botnets atuais. A dupla Aisuru-Kimwolf terá comprometido entre um e quatro milhões de máquinas em todo o mundo, e a Cloudflare documentou que esteve por detrás de alguns dos maiores ataques DDoS alguma vez registados, incluindo um dilúvio de 31,4 terabits por segundo. A The Hacker News sublinha ainda uma nota de cautela importante: nenhuma fonte independente mediu um pico de ataque da Dysphoria nem confirmou a escala reportada de 200 mil dispositivos.

Comando e controlo escondido na blockchain

O aspeto mais notável da Dysphoria é a forma como esconde os seus servidores de comando e controlo. Em vez de depender de domínios tradicionais — facilmente derrubados por autoridades ou fornecedores —, a botnet recorre a serviços de nomes descentralizados. Esta técnica não é totalmente inédita: a XLab já tinha documentado a botnet relacionada Kimwolf a usar C2 baseado em ENS no ano passado, e a Dysphoria combina o mesmo modelo de resolução com uma malha de relays construída a partir das suas próprias vítimas.

A cronologia de desenvolvimento revela um ritmo acelerado de atualizações. A análise da XLab, publicada a 25 de julho, acompanha uma sequência rápida de compilações: encriptação personalizada de cadeias com RC4 e resolução ENS no final de abril, seguida de resolução via Solana Name Service (SNS) no início de maio; uma variante exclusivamente de relay surgiu a 25 de junho, com mapeamento de portas via UPnP acrescentado poucos dias depois para atravessar gateways NAT.

Essa compilação exclusivamente de relay abandona os módulos de DDoS e, em vez disso, usa UPnP para mapear portas no gateway local e o epoll do Linux para transferir tráfego entre uma ligação externa e um serviço de C2 remoto. Na prática, esta arquitetura torna o combate à botnet mais difícil. A mudança complica uma apreensão convencional de servidores, mas não retira a infraestrutura da cadeia: a botnet continua a depender de registos em blockchain, de nós de distribuição acessíveis e de relays comprometidos.

Ao nível da comunicação, os clientes infetados enviam um pacote fixo de login e heartbeat de 78 bytes de volta ao C2 e recebem do operador comandos de ataque DDoS que incluem duração, tipo, alvos e flags configuráveis. Na variante de proxy, o malware abusa do UPnP no dispositivo comprometido para criar 155 regras de reencaminhamento de portas que expõem serviços internos a ligações vindas da internet.

Como se propaga: credenciais fracas e vulnerabilidades

A XLab e o CNCERT indicam que a Dysphoria se propaga por adivinhação de palavras-passe fracas de Telnet e SSH e por um conjunto de falhas conhecidas de execução remota de código em routers, gateways e câmaras. É de notar uma divergência entre fontes: uma comparação da The Hacker News concluiu que a publicação da XLab e uma nota espelhada do CNCERT apresentam listas de vulnerabilidades diferentes, apesar de exporem a mesma investigação conjunta. Ainda assim, ambas concordam que as credenciais fracas de Telnet e SSH continuam a ser a via de entrada mais consistente.

Entre as falhas atribuídas à campanha, a XLab enumera vulnerabilidades recentes e outras já antigas que persistem em equipamentos por atualizar:

Sobre a falha da Linksys, convém sublinhar uma ressalva técnica: o CVE-2025-9528 é uma vulnerabilidade de injeção de comandos no Linksys E1700, divulgada em agosto de 2025 e com exploit público. Porém, o vetor CVSS do NVD classifica a falha como exigindo privilégios elevados, e nenhuma das publicações explica como é que ela se encaixa na cadeia de propagação da botnet. A presença de falhas antigas como a CVE-2017-17215 — uma vulnerabilidade de execução remota de código no Huawei HG532, em que um atacante pode enviar pacotes maliciosos para a porta 37215 para levar à execução de código arbitrário — demonstra que muitos equipamentos em fim de vida continuam expostos.

Escala medida e alegada capacidade de ataque

A XLab monitorizou a botnet entre 14 e 20 de julho e registou um pico de 740 mil pings diários de hosts infetados, 239 mil ligações de clientes no estrangeiro e 1800 provenientes da China, estimando com confiança que o número de dispositivos infetados ronda os 200 mil neste momento.

Quanto ao poder de fogo, os valores publicitados devem ser lidos com prudência. A loja do serviço anuncia ataques até cerca de 4 Tbps por dezenas a centenas de dólares, mas trata-se de uma alegação do operador e não de um ataque medido. Apesar de ser significativamente inferior à marca atual de 31,4 Tbps atingida pela botnet Aisuru/Kimwolf em dezembro de 2025, é ainda suficiente para causar perturbações relevantes. Quanto à atribuição, os investigadores mantêm-se cautelosos: o CNCERT, a XLab e a investigação anterior sobre o JackSkid não nomeiam qualquer operador. O NICT do Japão documentou de forma independente a mesma transição do JackSkid para ENS/SNS em maio e, tal como a Nokia e a Comcast, encontrou código e cadeias partilhados com várias outras famílias de botnets — sobreposição que aponta para ferramentas comuns e não para prova de um único operador.

Porque é que isto importa em Portugal

Ainda que os dados apontem para maior atividade fora da Europa, botnets como a Dysphoria recrutam dispositivos indiscriminadamente em qualquer geografia com equipamentos vulneráveis. Routers domésticos, câmaras IP e gravadores de vídeo (DVR) mal configurados em lares e PME portuguesas podem tornar-se peças de uma máquina de ataque global — e, ao serem usados como relays, expor a rede interna a ligações externas indesejadas.

Para as organizações abrangidas pelo novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), a gestão de vulnerabilidades e o inventário de ativos deixaram de ser boas práticas facultativas para passarem a obrigações de segurança. O CNCS e o CERT.PT recomendam de forma consistente a atualização de firmware, a eliminação de credenciais predefinidas e a redução da superfície de exposição à internet. Já a proteção de dados pessoais que possam circular por dispositivos comprometidos, como imagens de câmaras, enquadra-se no RGPD, cujo incumprimento pode gerar responsabilidades para quem trata esses dados.

As recomendações de mitigação são diretas. Os utilizadores podem proteger-se mantendo o firmware dos dispositivos atualizado, alterando a palavra-passe de administrador predefinida, desativando o acesso remoto quando não é necessário e reforçando as definições de segurança quando disponíveis. Para o hardware sem correções, a orientação dos investigadores é substituí-lo por equipamento suportado.

Perguntas frequentes

O que é a botnet Dysphoria?

É uma família de malware para dispositivos de Internet das Coisas rastreada pela XLab (QiAnXin) e pelo CNCERT, que terá infetado cerca de 200 mil equipamentos a nível mundial. Evoluiu do malware jackskid/fbot e usa dispositivos comprometidos para ataques DDoS e para encaminhar tráfego, escondendo os seus servidores de comando e controlo em serviços de nomes baseados em blockchain, como o Ethereum ENS e o Solana SNS.

Como é que a Dysphoria infeta os dispositivos?

A via mais consistente é a adivinhação de palavras-passe fracas em serviços Telnet e SSH. A botnet explora ainda vulnerabilidades conhecidas de execução remota de código em routers, gateways e câmaras, incluindo falhas recentes como CVE-2025-9528 (Linksys) e antigas como CVE-2017-17215 (Huawei), que persistem em equipamentos por atualizar.

A Dysphoria é tão perigosa como a Aisuru?

Em escala, não. A Aisuru/Kimwolf terá comprometido entre um e quatro milhões de dispositivos e esteve associada a ataques de até 31,4 Tbps. Os operadores da Dysphoria alegam uma capacidade de até 4 Tbps, mas trata-se de uma afirmação comercial não confirmada de forma independente. Ainda assim, essa capacidade seria suficiente para provocar perturbações significativas.

Como posso proteger os meus equipamentos?

Mantenha o firmware atualizado, altere as palavras-passe de administrador predefinidas, desative o acesso remoto e o UPnP quando não forem necessários e reforce as definições de segurança disponíveis. Se tiver hardware em fim de vida sem correções, substitua-o por equipamento suportado e evite expô-lo diretamente à internet.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela XLab (QiAnXin), pelo CNCERT, pelo NICT e por reportagem da imprensa especializada.