A botnet Dysphoria já comprometeu cerca de 296 mil dispositivos, incluindo roteadores, câmeras IP, gateways e equipamentos Linux embarcados. A infraestrutura é usada principalmente em ataques DDoS e passou a oferecer também funções de proxy residencial. A ameaça começou a ser acompanhada no primeiro trimestre de 2026 e evoluiu rapidamente a partir das famílias jackskid e fbot. Pesquisadores identificaram picos de até 239 mil dispositivos infectados ativos fora da China em um único dia.
A disseminação ocorre principalmente por ataques de força bruta contra serviços Telnet e SSH protegidos por senhas fracas. A Dysphoria também explora vulnerabilidades conhecidas de execução remota de código em equipamentos IoT.
Uma das principais evoluções está no uso de domínios baseados nas redes Ethereum e Solana para localizar servidores de comando e controle. Essa estratégia dificulta a derrubada da infraestrutura e permite trocar rapidamente os endereços utilizados pela botnet.
Dispositivos comprometidos também podem funcionar como nós intermediários. A ameaça utiliza UPnP para abrir portas no roteador e transformar conexões residenciais em relays capazes de esconder a origem de tráfego criminoso.
Os operadores anunciam capacidade de ataques de até 4 Tbps e oferecem diferentes pacotes de DDoS, indicando uma operação comercial estruturada. Os alvos observados incluem serviços de internet e plataformas de jogos em diferentes países.
