Dysphoria, uma linhagem de botnet de Internet das Coisas (IoT) monitorada pelo CNCERT e pelo XLab, passou a adotar serviços de nomes baseados em blockchain e relays em dispositivos infectados após uma operação policial em março contra a infraestrutura do JackSkid.
Segundo os pesquisadores, essa arquitetura torna a botnet mais difícil de interromper.
O CNCERT, equipe nacional de resposta a emergências em informática da China, e o XLab, laboratório de inteligência de ameaças da empresa chinesa Qi'anxin, estimam que a rede tenha superado 200.000 bots.
A telemetria deles registrou 4.401 dispositivos ativos confirmados dentro da China entre 14 e 20 de julho e um pico diário de 239.000 bots no exterior.
Nenhuma dessas contagens foi reproduzida de forma independente.
Os pesquisadores não divulgaram a metodologia de contagem ou de deduplicação, portanto os números não devem ser interpretados como um censo preciso de dispositivos.
Para se defender, administradores devem aplicar patch em equipamentos de IoT expostos, substituir dispositivos que não possam mais ser atualizados, eliminar credenciais padrão e fracas e desativar o gerenciamento remoto e o UPnP quando não forem necessários.
A linhagem passa pelo JackSkid, uma das quatro botnets de IoT alvo de ações coordenadas de autoridades dos Estados Unidos, Alemanha e Canadá em 19 de março.
Documentos judiciais atribuíram ao JackSkid, sozinho, mais de 90.000 comandos de DDoS.
Em poucos dias, a Nokia Deepfield e o laboratório de ameaças da Comcast documentaram o operador recuando para um domínio do Ethereum Name Service (ENS), m3rnbvs5d[.]eth, para comando e controle (C2).
A linha do tempo do Dysphoria, do XLab, começa com uma amostra do JackSkid capturada em 25 de março, seis dias após a interrupção, que resolve o C2 pelo mesmo domínio.
O XLab identificou que o registro burrberry[.]eth codifica endereços IPv4 de nós de distribuição, enquanto 24carnforth2merseyside[.]sol fornece outros registros de infraestrutura.
A amostra de DDoS solicita, por HTTP, a uma máquina de distribuição uma lista atualizada de servidores, e os endpoints listados são máquinas infectadas que retransmitem o tráfego aos controladores reais.
O desenho mantém esses controladores um passo afastados dos endereços expostos aos bots.
A análise do XLab, publicada em 25 de julho, acompanha uma sequência rápida de versões: criptografia personalizada de strings com RC4 e resolução via ENS no fim de abril, seguidas por resolução via Solana Name Service (SNS) no início de maio.
Em 25 de junho, surgiu uma variante voltada apenas para relay, com mapeamento de portas baseado em UPnP adicionado dias depois para atravessar gateways NAT.
A versão apenas com relay remove os módulos de DDoS e passa a usar UPnP para mapear portas no gateway local e epoll no Linux para encaminhar tráfego entre uma conexão externa e um serviço C2 remoto.
O XLab já havia documentado a botnet Kimwolf usando C2 baseado em ENS no fim do ano passado.
O Dysphoria combina o mesmo modelo de resolução com uma malha de relés construída a partir de suas próprias vítimas.
Essa mudança complica uma apreensão convencional de servidores, mas não elimina a infraestrutura da cadeia.
A botnet ainda depende de registros em blockchain, nós de distribuição acessíveis e relés comprometidos.
A NICT, do Japão, documentou de forma independente a mesma transição do JackSkid para ENS e SNS em maio e, assim como a Nokia e a Comcast, encontrou código e strings compartilhados com várias outras famílias de botnet.
Essa sobreposição indica ferramentas em comum, e não prova de um único operador.
Nenhum dos pesquisadores aponta um responsável específico.
XLab e CNCERT afirmam que o Dysphoria se espalha por meio de tentativas de adivinhação de senhas fracas em Telnet e SSH e de um conjunto de falhas conhecidas de execução remota de código em roteadores, gateways e câmeras.
Um exemplo presente nas duas listas publicadas é a
CVE-2025-9528
, uma falha de injeção de comandos no Linksys E1700 divulgada em agosto de 2025 com exploit público.
A fabricante não respondeu ao relatório original.
A métrica CVSS da NVD classifica a falha como exigindo privilégios altos, e nenhuma das publicações explica como ela se encaixa na cadeia de propagação da botnet.
Uma comparação feita pelo The Hacker News mostrou que a publicação do XLab e um aviso espelhado do CNCERT trazem listas diferentes de vulnerabilidades, embora apresentem a mesma pesquisa conjunta.
As duas concordam que credenciais fracas de Telnet e SSH continuam sendo a forma mais consistente de entrada.
O XLab afirma que o Dysphoria ataca alvos de provedores de internet e de jogos quase diariamente, mas não cita vítimas nem picos medidos.
O site de venda anuncia ataques de até cerca de 4 Tbps por valores que variam de dezenas a centenas de dólares, mas isso é uma alegação do operador, não uma medição do ataque.
A Cloudflare mediu um ataque de 31,4 Tbps da botnet relacionada AISURU/Kimwolf antes da interrupção de março.
CNCERT, XLab e a pesquisa anterior sobre o JackSkid não identificam nenhum operador.
Nenhuma fonte independente mediu um pico de ataque do Dysphoria ou confirmou a escala relatada de 200.000 dispositivos.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...