Mon, 27 Jul 2026
← VoltarDysphoria, uma linha de botnet da Internet das Coisas (IoT) rastreada pela CNCERT e XLab, adotou serviços de nomes baseados em blockchain e retransmissões de dispositivos infectados como
Dysphoria, uma linha de botnet da Internet das Coisas (IoT) rastreada pela CNCERT e XLab, adotou serviços de nomes baseados em blockchain e retransmissões de dispositivos infectados após uma operação policial em março contra a infraestrutura JackSkid. Os pesquisadores dizem que o design torna a botnet mais difícil de interromper. A CNCERT, a equipe nacional de resposta a emergências informáticas da China, e o XLab, o laboratório de inteligência de ameaças da empresa chinesa Qi'anxin, colocam sua população acima de 200.000 bots. A telemetria registrou 4.401 dispositivos ativos confirmados na China entre 14 e 20 de julho e um pico em um único dia de 239 mil bots no exterior.
Nenhuma das contagens foi reproduzida de forma independente. Os pesquisadores não publicaram nenhuma metodologia de contagem ou desduplicação, portanto os números não devem ser lidos como um censo preciso do dispositivo. Os defensores devem corrigir equipamentos IoT expostos, substituir dispositivos que não podem mais ser atualizados, eliminar credenciais padrão e fracas e desativar o gerenciamento remoto e o UPnP onde não forem necessários. A linhagem passa pelo JackSkid, um dos quatro botnets de IoT alvo de ações coordenadas de aplicação da lei nos EUA, Alemanha e Canadá em 19 de março.
Documentos judiciais atribuíram mais de 90.000 comandos DDoS somente ao JackSkid. Em poucos dias, o laboratório de ameaças da Nokia Deepfield e da Comcast documentou a operadora recorrendo a um domínio Ethereum Name Service (ENS), m3rnbvs5d[.]eth, para comando e controle (C2). A linha do tempo da Disforia do XLab abre com uma amostra do JackSkid capturada em 25 de março, seis dias após a interrupção, que resolve C2 através do mesmo domínio. XLab descobriu que o registro burrberry[.]eth codifica endereços IPv4 de nós de distribuição, enquanto 24carnforth2merseyside[.]sol fornece outros registros de infraestrutura.
O exemplo DDoS solicita a um nó de distribuição via HTTP uma lista de servidores atuais, e os endpoints listados são máquinas infectadas que retransmitem o tráfego para os controladores reais. O design mantém esses controladores um passo distantes dos endereços expostos aos bots. A análise XLab, publicada em 25 de julho, rastreia uma rápida execução de compilações: criptografia de string RC4 personalizada e resolução ENS no final de abril, seguida pela resolução Solana Name Service (SNS) no início de maio. Uma variante somente retransmissão apareceu em 25 de junho, com mapeamento de portas baseado em UPnP adicionado dias depois para atravessar gateways NAT.
A compilação somente retransmissão descarta os módulos DDoS e, em vez disso, usa UPnP para mapear portas no gateway local e Linux epoll para transportar o tráfego entre uma conexão externa e um serviço C2 remoto. XLab documentou o botnet Kimwolf relacionado usando C2 baseado em ENS no final do ano passado. A disforia acopla o mesmo modelo de resolução a uma malha de retransmissão construída a partir de suas próprias vítimas. A mudança complica a apreensão convencional de servidores, mas não remove a infraestrutura da cadeia: a botnet ainda depende de registros de blockchain, nós de distribuição acessíveis e retransmissões comprometidas.
O NICT do Japão documentou de forma independente a mesma mudança de JackSkid para ENS/SNS em maio e, como Nokia e Comcast, encontrou códigos e strings compartilhados com várias outras famílias de botnets. Essa sobreposição aponta para ferramentas compartilhadas, e não para a prova de um único operador, e nenhum dos pesquisadores cita nenhum. XLab e CNCERT dizem que a disforia se espalha por meio da adivinhação de senhas fracas de Telnet e SSH e de um conjunto de falhas conhecidas de execução remota de código de IoT em roteadores, gateways e câmeras. Um exemplo presente em ambas as listas publicadas é CVE-2025-9528, uma falha de injeção de comando Linksys E1700 divulgada em agosto de 2025 com uma exploração pública.
O fornecedor não respondeu ao relatório original. O vetor CVSS do NVD classifica a falha como exigindo altos privilégios, e nenhuma das publicações explica como ela se ajusta à cadeia de propagação da botnet. Uma comparação feita pelo The Hacker News descobriu que a postagem do XLab e um aviso espelhado do CNCERT publicam listas de vulnerabilidades diferentes, apesar de apresentarem a mesma pesquisa conjunta. Ambos concordam que credenciais fracas de Telnet e SSH continuam sendo a forma mais consistente de entrada.
XLab diz que o Dysphoria ataca alvos de serviços de Internet e jogos quase diariamente, mas não nomeia vítimas ou picos medidos. A vitrine anuncia ataques de até 4 Tbps por dezenas a centenas de dólares, mas isso é uma afirmação da operadora, não um ataque medido. A Cloudflare mediu um ataque de 31,4 Tbps do botnet AISURU/Kimwolf relacionado antes da interrupção de março. CNCERT, XLab e a pesquisa anterior do JackSkid não nomeiam nenhum operador.
Nenhuma fonte independente mediu um pico de ataque de disforia ou confirmou a escala relatada de 200.000 dispositivos. Saiba como 300 líderes empresariais estão gerenciando riscos de código aberto orientados por IA, remediação de dívidas e governança em escala. Aprenda como controlar riscos, proteger software criado por IA e manter o controle à medida que o desenvolvimento avança na velocidade da máquina. Receba as últimas notícias, insights de especialistas, recursos exclusivos e estratégias de líderes do setor, tudo gratuitamente.