Botnet Dysphoria já controla quase 300 mil dispositivos e amplia arsenal para ataques DDoS
A Dysphoria emergiu em 2026 como uma das botnets mais agressivas em operação, com um volume impressionante de dispositivos comprometidos: cerca de 296 mil equipamentos já foram infectados, entre roteadores domésticos e corporativos, câmeras IP, gateways e diversos tipos de dispositivos Linux embarcados usados em ambientes de IoT. Essa massa de máquinas sequestradas é aproveitada, sobretudo, para ataques de negação de serviço distribuídos (DDoS), mas o grupo por trás da operação vem expandindo o modelo de negócio e passou a explorar também o uso desses equipamentos como proxies residenciais.
Monitorada desde o primeiro trimestre de 2026, a Dysphoria cresceu sobre bases já conhecidas no submundo do cibercrime. Ela deriva e evolui a partir de famílias como jackskid e fbot, incorporando técnicas, códigos e estratégias de ambas, mas com melhorias em escala, resiliência e capacidade de ataque. Em determinados momentos, pesquisadores observaram picos de até 239 mil dispositivos simultaneamente ativos e controlados pela botnet fora da China em um único dia, o que evidencia o alcance global da campanha e o nível de automatização do processo de infecção.
O vetor de disseminação da Dysphoria segue um padrão clássico, porém ainda extremamente eficaz: ataques de força bruta contra serviços Telnet e SSH expostos na internet, protegidos por combinações fracas ou senhas padrão de fábrica. Muitos equipamentos conectados saem da caixa com credenciais triviais, que nem sempre são alteradas pelos usuários ou administradores, o que abre uma porta largamente explorada por atacantes. Além disso, a botnet integra rotinas para exploração de vulnerabilidades de execução remota de código já documentadas em diversos modelos de dispositivos IoT.
Outro salto importante na sofisticação da Dysphoria está na forma de localizar e proteger seus servidores de comando e controle (C2). Em vez de depender apenas de domínios tradicionais e infraestrutura DNS facilmente derrubável por ações de mitigação, os operadores incorporaram o uso de domínios vinculados às redes Ethereum e Solana. Essa abordagem, inspirada em conceitos de Web3, torna a infraestrutura mais resistente à derrubada e permite uma troca rápida e dinâmica dos endereços utilizados para coordenar a botnet, dificultando o trabalho de forças de defesa e de órgãos de segurança.
A botnet também transforma dispositivos infectados em nós intermediários. Por meio do protocolo UPnP (Universal Plug and Play), a Dysphoria consegue abrir portas automaticamente no roteador do usuário, convertendo conexões residenciais comuns em relays capazes de mascarar a origem real do tráfego malicioso. Na prática, a vítima não apenas tem seu equipamento integrado à botnet, como também corre o risco de ter sua conexão associada a ataques que parecem partir de um endereço residencial legítimo, o que complica a detecção e a atribuição.
Do ponto de vista comercial, os operadores da Dysphoria agem como um provedor de “serviços” criminosos. Relatos apontam que o grupo anuncia capacidade de ataques de até 4 Tbps, um volume suficiente para pressionar mesmo grandes empresas de tecnologia e provedores de serviços. São oferecidos diferentes pacotes de DDoS sob demanda, modulados por duração, intensidade e tipo de técnica aplicada (como floods de UDP, TCP, HTTP ou ataques a camadas específicas de aplicação). Isso indica uma operação profissionalizada, com um modelo de negócio alinhado ao conceito de “DDoS-as-a-Service”.
Os alvos atacados pela Dysphoria incluem uma variedade de serviços online, com destaque para plataformas de internet críticas e serviços de jogos em múltiplos países. O setor de games, em especial, costuma ser alvo recorrente desse tipo de operação, seja para derrubar servidores rivais em competições, seja para chantagear provedores de jogos populares exigindo pagamentos em troca da interrupção dos ataques. Também entram na mira provedores de hospedagem, empresas de telecomunicações e até pequenos negócios com infraestrutura exposta, que muitas vezes não têm capacidade de absorver picos volumétricos de tráfego.
Essa combinação de grande escala, uso de tecnologias descentralizadas para proteção de infraestrutura e oferta de serviços sob demanda coloca a Dysphoria em um patamar preocupante dentro do ecossistema de ameaças. Ao mesmo tempo, expõe fragilidades históricas: a enorme dependência de dispositivos IoT mal configurados, de baixo custo e com pouca atenção em segurança. Enquanto fabricantes continuarem lançando equipamentos com autenticação fraca ou desatualizados em termos de firmware, operações semelhantes terão terreno fértil para crescer e se reciclar em novas variantes.
Para usuários domésticos, a principal linha de defesa ainda é a boa configuração básica dos dispositivos conectados. Alterar senhas padrão, desativar o acesso remoto quando não for necessário, manter firmwares atualizados e limitar a exposição de serviços como Telnet e SSH são práticas que reduzem de forma significativa o risco de infecção. Em muitos roteadores, por exemplo, é possível desabilitar completamente protocolos legados ou aplicar listas de controle de acesso, permitindo que apenas determinados IPs alcancem serviços administrativos.
Empresas e provedores que dependem de uma grande base de dispositivos IoT precisam ir além. Adoção de inventários detalhados de ativos conectados, segmentação de redes para isolar equipamentos mais frágeis, monitoramento de tráfego em busca de padrões anômalos e implementação de soluções de mitigação DDoS na borda são estratégias fundamentais. A visibilidade sobre o comportamento de cada dispositivo torna-se crucial para identificar quando um equipamento legítimo começa a participar de fluxos suspeitos de dados, sinalizando potencial comprometimento.
Outro ponto relevante é a colaboração entre diferentes atores do ecossistema digital. Equipes de segurança, operadoras de internet, CERTs e órgãos de investigação precisam compartilhar indicadores de comprometimento, amostras de malware e informações de infraestrutura maliciosa para agir de forma mais coordenada. No caso específico da Dysphoria, o uso de domínios associados a redes blockchain exige estratégias distintas de derrubada, muitas vezes combinando esforços técnicos, regulatórios e de inteligência para minar as fontes de comando utilizadas pela botnet.
Do lado ofensivo, a adoção de botnets como a Dysphoria por grupos de cibercriminosos se conecta a outra tendência: o aumento da participação de empresas privadas em operações de combate a ameaças digitais, especialmente em cooperação com governos. À medida que campanhas como essa ganham escala e afetam serviços críticos, cresce a pressão para que o setor privado se envolva mais diretamente na detecção, desarticulação e mitigação dessas infraestruturas.
O cenário indica que botnets voltadas a DDoS continuarão a evoluir, explorando novas superfícies de ataque e tecnologias. Com o avanço da conectividade 5G, da expansão de dispositivos inteligentes em residências e cidades, e da digitalização de serviços essenciais, a capacidade destrutiva de uma botnet bem estruturada tende a aumentar. A Dysphoria é um exemplo concreto de como uma operação moderna combina código herdado de campanhas antigas com mecanismos inovadores de resiliência e monetização, apontando o rumo que outras ameaças podem seguir nos próximos anos.
Em síntese, a Dysphoria não é apenas mais uma botnet voltada a DDoS: ela simboliza uma etapa mais madura do crime digital, em que a infraestrutura zumbi se torna um serviço comercial sofisticado, apoiado em tecnologias emergentes e sustentado pela negligência na proteção de dispositivos conectados. A resposta a esse tipo de ameaça exige um esforço conjunto de fabricantes, provedores, empresas e usuários finais, com uma mudança cultural que coloque a segurança de IoT no centro das discussões, e não como um detalhe secundário do produto.