A nova rede Dysphoria já comprometeu cerca de 200.000 dispositivos a nível mundial, utilizando as máquinas infetadas para lançar ataques de negação de serviço (DDoS) e reencaminhar tráfego web. Segundo uma investigação detalhada do XLab, a ameaça partiu do primeiro trimestre de 2026 e revelou uma forte resiliência graças a atualizações tecnológicas frequentes.
Descendente direta de famílias de malware conhecidas como 'jackskid' e 'fbot', a Dysphoria foi detetada inicialmente a 25 de março. A principal novidade inserida pelos criadores incidiu no mecanismo de resolução de comando e controlo (C2), que passou a recorrer a sistemas de domínios da blockchain Ethereum (ENS) e Solana (SNS).
Ocultação de operações na blockchain
O recurso a redes descentralizadas torna o rastreio e o desmantelamento da infraestrutura substancialmente mais difíceis face aos bloqueios convencionais. Para dificultar ainda mais o trabalho aos analistas, o código malicioso esconde os endereços dos servidores de comando no meio de cadeias de caracteres que imitam IPs em formato IPv6. Estes endereços verdadeiros são depois recuperados através de um algoritmo específico de transformação de bytes.
Ao estabelecerem contacto com a base central, os clientes infetados transmitem um pacote fixo de 78 bytes com informações de ligação e autenticação (heartbeat). Em resposta, recebem instruções concretas do operador para executar os ataques DDoS, que incluem parâmetros como a duração, o tipo de ofensa, os alvos a abater e marcadores configuráveis.
Propagação por credenciais fracas e equipamentos antigos
A tática de distribuição do ataque aproveita sobretudo a exposição de protocolos Telnet e SSH protegidos por credenciais fracas, juntamente com vulnerabilidades conhecidas no software de routers, câmaras de vigilância e equipamentos IoT variados. A lista de falhas abusadas recentemente engloba CVE-2025-55182 ("React2Shell"), CVE-2025-34152, CVE-2025-28137 (da Totolink) e CVE-2025-9528 (da Linksys). O ataque também tem como alvo lacunas mais antigas, como a CVE-2017-17215 em dispositivos Huawei e a CVE-2020-8515 em aparelhos DrayTek.
No final de junho, os investigadores detetaram uma variante da rede que abdicou totalmente das funções DDoS. Esta versão concentrou-se apenas em converter as máquinas infetadas em proxies, explorando o protocolo UPnP (Universal Plug and Play) do dispositivo afetado para estabelecer 155 regras de reencaminhamento de portas, o que expõe os serviços da rede interna ao exterior.
Potencial de ataque e impacto local
Os dados da atividade monitorizada entre 14 e 20 de julho mostram a força da operação: registou-se um pico de 740.000 pings diários das máquinas submetidas, com 239.000 ligações originadas em vários pontos do mundo, e 1.800 ligações oriundas da China.
Na plataforma da clearnet usada para vender o serviço sob a aparência de uma ferramenta legítima de testes de stress, os responsáveis promovem uma capacidade de fogo máxima de 4 Tbps. O número fica abaixo do atual recorde de 31,4 Tbps, fixado em dezembro de 2025 pela botnet Aisuru/Kimwolf, mas tem capacidade suficiente para paralisar a vasta maioria dos serviços online.
Para os utilizadores em Portugal, a dimensão deste exército cibernético demonstra o risco de manter tecnologia desatualizada em casa ou nas empresas. A prevenção passa por tarefas básicas mas fundamentais: atualizar os firmwares, modificar imediatamente a palavra-passe de origem na configuração de qualquer router ou câmara nova, desligar o acesso remoto caso este não seja indispensável e rever as permissões de segurança gerais do aparelho.
Nenhum comentário
Seja o primeiro!