O seu router pode estar nesta botnet secreta de 200 mil aparelhos

Uma nova botnet de Internet das Coisas (IoT) chamada Dysphoria comprometeu, segundo os investigadores que a rastreiam, mais de 200 mil dispositivos em todo o mundo — routers domésticos, câmaras IP, gateways e outros sistemas Linux embebidos. RGPD à parte, o que torna esta ameaça particularmente resiliente é o recurso a domínios assentes em blockchain para esconder a infraestrutura de comando e controlo, dificultando o esforço de desmantelamento. A análise foi publicada pelo laboratório XLab, da empresa chinesa Qi’anxin, em conjunto com o CNCERT chinês, e vários factos-chave ainda não foram confirmados de forma independente.

O que é a Dysphoria e de onde vem

A Dysphoria é uma família de malware para dispositivos Linux embebidos que ganhou tração muito depressa. Segundo os investigadores, a rede assenta em linhagens de código de malware IoT para Linux conhecidas como jackskid e fbot, que os autores da Dysphoria reformularam repetidamente ao longo de meses em vez de anos. Este ritmo acelerado de desenvolvimento é o que mais distingue a operação.

O contexto ajuda a explicar o aparecimento da ameaça. A Dysphoria surgiu no final de março, pouco depois de uma operação multinacional liderada pelos Estados Unidos, Canadá e Alemanha ter desmantelado quatro grandes botnets IoT, incluindo a JackSkid, da qual a Dysphoria descende; essa operação, anunciada pelo Departamento de Justiça norte-americano, apreendeu servidores, domínios e outros sistemas usados pelas botnets Aisuru, KimWolf, JackSkid e Mossad. O Departamento de Justiça afirmou que essas botnets tinham infetado coletivamente mais de 3 milhões de dispositivos. Por outras palavras, a Dysphoria surge como um sucessor que aprendeu com o desmantelamento anterior.

É importante uma nota de cautela metodológica. Os investigadores não publicaram nenhuma metodologia de contagem ou de eliminação de duplicados, pelo que os números não devem ser lidos como um censo preciso de dispositivos. Além disso, nenhuma fonte independente mediu um pico de ataque da Dysphoria nem confirmou a escala reportada de 200 mil dispositivos.

Como se propaga: credenciais fracas e falhas antigas

A XLab e o CNCERT afirmam que a Dysphoria se propaga por adivinhação de palavras-passe fracas de Telnet e SSH e por um conjunto de falhas conhecidas de execução remota de código em routers, gateways e câmaras. A força-bruta sobre credenciais continua a ser o vetor mais consistente, precisamente porque muitos aparelhos permanecem expostos na Internet com firmware antigo e palavras-passe por omissão.

Quanto às vulnerabilidades, a lista da XLab abrange falhas IoT antigas exploradas por botnets há anos, incluindo a CVE-2017-17215 e a CVE-2020-8515, a par de divulgações mais recentes como a CVE-2025-9528, CVE-2025-28137, CVE-2025-34152 e CVE-2025-55182. Entre as falhas mais recentes exploradas estão a CVE-2025-55182 (“React2Shell”), a CVE-2025-34152, a CVE-2025-28137 (Totolink) e a CVE-2025-9528 (Linksys); mas a Dysphoria visa também fraquezas mais antigas que ainda persistem em muitos dispositivos, como a CVE-2017-17215 (Huawei) e a CVE-2020-8515 (DrayTek).

Vale a pena reter uma ressalva levantada por análise crítica. O vetor CVSS da NVD classifica a CVE-2025-9528 como exigindo privilégios elevados, e nenhuma das publicações explica como se encaixa na cadeia de propagação; uma comparação encontrou ainda listas de vulnerabilidades diferentes entre o artigo da XLab e um aviso espelhado do CNCERT, apesar de apresentarem a mesma investigação conjunta. Convém, portanto, tratar a lista de CVE como indicativa e não exaustiva.

O truque da blockchain para esconder o comando e controlo

A característica mais interessante da Dysphoria é a forma como localiza os seus servidores. A Dysphoria usa domínios do Ethereum Name Service e do Solana Name Service para localizar a infraestrutura de controlo: em vez de depender de um único endereço de servidor fixo, o malware consulta registos associados a domínios blockchain e obtém dados que o orientam para os sistemas de relay e controlo ativos. Tecnicamente, a Dysphoria consulta domínios ENS e SNS e extrai os detalhes da infraestrutura de C2 de registos TXT, em vez do DNS convencional.

Porque é que isto importa para quem defende? Bloquear um domínio ou endereço IP convencional pode interromper as comunicações de uma botnet, mas os registos ligados à blockchain podem permitir aos atacantes atualizar a infraestrutura sem modificar todos os dispositivos infetados. É esta resiliência que preocupa os investigadores.

De ferramenta de DDoS a rede de proxies

A Dysphoria não parou de mudar de forma. Os investigadores detetaram-na pela primeira vez a 25 de março e identificaram várias iterações que acrescentaram atualizações significativas, como um algoritmo de aquisição de C2, suporte multi-cadeia, novos domínios e a separação funcional entre as variantes de relay e de DDoS. Uma dessas mudanças alterou por completo o propósito de alguns aparelhos: uma variante do final de junho removeu a funcionalidade de DDoS e converteu os dispositivos infetados em proxies de relay de rede.

Esta variante é especialmente insidiosa para o utilizador comum. A variante do final de junho abusa do UPnP para criar 155 regras de encaminhamento de portas nos dispositivos infetados, o que, segundo os investigadores, expõe serviços internos a ligações de entrada da Internet. E o pior é a ausência de sinais visíveis: o dono do dispositivo não tem qualquer indício óbvio de que algo está mal, para além de um consumo de largura de banda inexplicável.

Escala, atividade e alegada capacidade

Sobre a dimensão da operação, a XLab monitorizou a botnet entre 14 e 20 de julho e registou um pico de 740 mil pings diários de hosts infetados, 239 mil ligações de clientes no estrangeiro e 1800 da China, estimando com confiança que o número de dispositivos infetados ronda os 200 mil neste momento. Os próprios investigadores cruzaram estes dados com material vazado: a XLab cita capturas de ecrã do painel de controlo da Dysphoria a circular nas redes sociais, mostrando uma contagem de bots consistente perto dos 200 mil que, segundo o laboratório, coincide com os seus próprios valores de monitorização.

Quanto à capacidade ofensiva, é uma alegação dos operadores e não uma medição verificada. O relatório nota que os operadores da Dysphoria anunciam pacotes de DDoS numa página pública que oferece até cerca de 4 Tbps de capacidade de ataque, com preços a partir de dezenas a centenas de dólares consoante a duração e o escalão de largura de banda. Para dar perspetiva a este número, a Cloudflare mediu um ataque de 31,4 Tbps a partir da botnet relacionada AISURU/Kimwolf antes do desmantelamento de março.

Como proteger os seus dispositivos

A boa notícia é que as medidas de defesa são acessíveis e eficazes. Os defensores devem aplicar patches ao equipamento IoT exposto, substituir dispositivos que já não podem ser atualizados, eliminar credenciais por omissão e fracas, e desativar a gestão remota e o UPnP quando não forem necessários.

• Altere as palavras-passe por omissão em routers, câmaras e gateways para credenciais fortes e únicas.
• Desative Telnet, SSH e a gestão remota sempre que não sejam essenciais.
• Desligue o UPnP se não precisar dele — é abusado para abrir portas ao exterior.
• Aplique as atualizações de firmware dos fabricantes e substitua aparelhos em fim de vida.
• Vigie consumos de largura de banda inexplicáveis, um dos poucos sinais de infeção.

Porque é que isto importa em Portugal

Embora a atividade documentada se concentre na China e em clientes internacionais, botnets IoT como a Dysphoria são globais por natureza: qualquer router doméstico ou câmara IP exposta em Portugal, com firmware desatualizado ou palavra-passe fraca, é um alvo potencial. Para o cidadão, o risco é ver a sua ligação consumida e o seu equipamento transformado em proxy para atividade criminosa. Para as PME e organizações, um dispositivo comprometido pode servir de porta de entrada para a rede interna, sobretudo quando o UPnP abre portas ao exterior.

No plano regulatório, o novo Regime Jurídico da Cibersegurança em Portugal (Decreto-Lei n.º 125/2025, que transpõe a diretiva NIS2) reforça as exigências de gestão de risco e de comunicação de incidentes para entidades abrangidas, e a exposição de equipamento IoT insere-se diretamente na higiene básica de segurança que estas obrigações pressupõem. O CNCS e o CERT.PT publicam regularmente recomendações de segurança para redes e dispositivos ligados, que reforçam as mesmas boas práticas. E quando um dispositivo comprometido serve de trampolim para dados pessoais, entram também em jogo as obrigações de segurança do tratamento previstas no RGPD — mais uma razão para levar a sério a proteção dos aparelhos ligados.

Perguntas frequentes

O que é a botnet Dysphoria?

É uma botnet de dispositivos IoT (routers, câmaras, gateways com Linux embebido) rastreada pela XLab e pelo CNCERT, que terá comprometido cerca de 200 mil aparelhos. Descende da botnet JackSkid e destaca-se por esconder a sua infraestrutura de comando em domínios blockchain, o que dificulta o desmantelamento.

Como sei se o meu router está infetado?

Não há sinais óbvios, mas um consumo de largura de banda inexplicável pode ser um indício. Verifique se o Telnet, o SSH, a gestão remota e o UPnP estão desativados, se a palavra-passe já não é a de fábrica e se o firmware está atualizado.

Que vulnerabilidades explora a Dysphoria?

Mistura falhas antigas ainda presentes em muitos aparelhos, como a CVE-2017-17215 (Huawei) e a CVE-2020-8515 (DrayTek), com divulgações recentes como a CVE-2025-9528 (Linksys), CVE-2025-28137 (Totolink), CVE-2025-34152 e CVE-2025-55182. A força-bruta sobre credenciais Telnet/SSH continua a ser o vetor mais consistente.

Os números de 200 mil dispositivos e 4 Tbps são confiáveis?

Devem ser lidos com cautela. Os investigadores não publicaram a metodologia de contagem, nenhuma fonte independente confirmou a escala de 200 mil aparelhos, e a capacidade de 4 Tbps é uma alegação de marketing dos próprios operadores, não uma medição verificada.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela XLab (Qi’anxin), pelo CNCERT e por análise adicional de investigadores de segurança.