Dysphoria: botnet, který si vybudoval vlastní síť relé a skrývá C2 v blockchainu
Dysphoria je IoT botnet, který podle odhadů QiAnXin XLab a CNCERT zasáhl více než 200 000 zařízení po celém světě a pro hledání řídicí infrastruktury využívá blockchainové služby ENS a SNS [6][8]. Objevil se po březnovém mezinárodním zásahu proti infrastruktuře botnetu JackSkid.
PublikovalUpraveno pomocí DeepSeek-V4-FlashObrázky vytvořeny pomocí GPT Image 1.5
Dysphoria je IoT botnet, který podle odhadů QiAnXin XLab a CNCERT zasáhl více než 200 000 zařízení po celém světě a pro hledání řídicí infrastruktury využívá blockchainové služby ENS a SNS [6][8].
Objevil se po březnovém mezinárodním zásahu proti infrastruktuře botnetu JackSkid.
Výzkumníci popsali falešné IPv6 řetězce, vlastní variantu šifrování RC4 a síť relé tvořenou napadenými zařízeními.
What is the Dysphoria IoT botnet, which has infected approximately 200,000 devices worldwide by using Ethereum Name Service and Solana NameConceptual visualization of the Dysphoria botnet's blockchain-based command-and-control network.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What is the Dysphoria IoT botnet, which has infected approximately 200,000 devices worldwide by using Ethereum Name Service and Solana Name. Article summary: **Dysphoria** is an IoT botnet that has infected an estimated 200,000 devices worldwide by replacing traditional command-and-control (C2) infrastructure with blockchain-based domain queries—Ethereum Name Service (ENS) an. Topic tags: general. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnai
openai.com
Botnet, který se naučil skrývat v blockchainu
Dysphoria představuje významný posun ve vývoji IoT botnetů. Starší sítě, například Mirai, často spoléhaly na centralizované servery a běžné DNS dotazy. Pokud se podařilo tyto domény nebo servery zabavit, provoz botnetu bylo možné výrazně narušit.
Dysphoria tento model mění. Pro vyhledávání infrastruktury command-and-control (C2), tedy systému, odkud útočníci posílají napadeným zařízením příkazy, používá blockchainové služby Ethereum Name Service (ENS) a Solana Name Service (SNS). Část obětí zároveň přeměňuje na prostředníky, přes které komunikace dále proudí .
Podle analýz QiAnXin XLab a CNCERT se botnet objevil krátce po březnové mezinárodní policejní operaci zaměřené na infrastrukturu JackSkidu a dalších významných sítí . Provozovatelé se nepokusili pouze obnovit původní infrastrukturu. Vytvořili architekturu, která je podstatně méně závislá na serverech pod jejich přímou kontrolou.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Dysphoria: botnet, který si vybudoval vlastní síť relé a skrývá C2 v blockchainu"?
Dysphoria je IoT botnet, který podle odhadů QiAnXin XLab a CNCERT zasáhl více než 200 000 zařízení po celém světě a pro hledání řídicí infrastruktury využívá blockchainové služby ENS a SNS [6][8].
What are the key points to validate first?
Dysphoria je IoT botnet, který podle odhadů QiAnXin XLab a CNCERT zasáhl více než 200 000 zařízení po celém světě a pro hledání řídicí infrastruktury využívá blockchainové služby ENS a SNS [6][8]. Objevil se po březnovém mezinárodním zásahu proti infrastruktuře botnetu JackSkid.
What should I do next in practice?
Výzkumníci popsali falešné IPv6 řetězce, vlastní variantu šifrování RC4 a síť relé tvořenou napadenými zařízeními.
Dysphoria: botnet, který si vybudoval vlastní síť relé a skrývá C2 v blockchainu
Dysphoria je IoT botnet, který podle odhadů QiAnXin XLab a CNCERT zasáhl více než 200 000 zařízení po celém světě a pro hledání řídicí infrastruktury využívá blockchainové služby ENS a SNS [6][8]. Objevil se po březnovém mezinárodním zásahu proti infrastruktuře botnetu JackSkid.
PublikovalUpraveno pomocí DeepSeek-V4-FlashObrázky vytvořeny pomocí GPT Image 1.5
Dysphoria je IoT botnet, který podle odhadů QiAnXin XLab a CNCERT zasáhl více než 200 000 zařízení po celém světě a pro hledání řídicí infrastruktury využívá blockchainové služby ENS a SNS [6][8].
Objevil se po březnovém mezinárodním zásahu proti infrastruktuře botnetu JackSkid.
Výzkumníci popsali falešné IPv6 řetězce, vlastní variantu šifrování RC4 a síť relé tvořenou napadenými zařízeními.
What is the Dysphoria IoT botnet, which has infected approximately 200,000 devices worldwide by using Ethereum Name Service and Solana NameConceptual visualization of the Dysphoria botnet's blockchain-based command-and-control network.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What is the Dysphoria IoT botnet, which has infected approximately 200,000 devices worldwide by using Ethereum Name Service and Solana Name. Article summary: **Dysphoria** is an IoT botnet that has infected an estimated 200,000 devices worldwide by replacing traditional command-and-control (C2) infrastructure with blockchain-based domain queries—Ethereum Name Service (ENS) an. Topic tags: general. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnai
openai.com
Botnet, který se naučil skrývat v blockchainu
Dysphoria představuje významný posun ve vývoji IoT botnetů. Starší sítě, například Mirai, často spoléhaly na centralizované servery a běžné DNS dotazy. Pokud se podařilo tyto domény nebo servery zabavit, provoz botnetu bylo možné výrazně narušit.
Dysphoria tento model mění. Pro vyhledávání infrastruktury command-and-control (C2), tedy systému, odkud útočníci posílají napadeným zařízením příkazy, používá blockchainové služby Ethereum Name Service (ENS) a Solana Name Service (SNS). Část obětí zároveň přeměňuje na prostředníky, přes které komunikace dále proudí .
Podle analýz QiAnXin XLab a CNCERT se botnet objevil krátce po březnové mezinárodní policejní operaci zaměřené na infrastrukturu JackSkidu a dalších významných sítí . Provozovatelé se nepokusili pouze obnovit původní infrastrukturu. Vytvořili architekturu, která je podstatně méně závislá na serverech pod jejich přímou kontrolou.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Dysphoria: botnet, který si vybudoval vlastní síť relé a skrývá C2 v blockchainu"?
Dysphoria je IoT botnet, který podle odhadů QiAnXin XLab a CNCERT zasáhl více než 200 000 zařízení po celém světě a pro hledání řídicí infrastruktury využívá blockchainové služby ENS a SNS [6][8].
What are the key points to validate first?
Dysphoria je IoT botnet, který podle odhadů QiAnXin XLab a CNCERT zasáhl více než 200 000 zařízení po celém světě a pro hledání řídicí infrastruktury využívá blockchainové služby ENS a SNS [6][8]. Objevil se po březnovém mezinárodním zásahu proti infrastruktuře botnetu JackSkid.
What should I do next in practice?
Výzkumníci popsali falešné IPv6 řetězce, vlastní variantu šifrování RC4 a síť relé tvořenou napadenými zařízeními.
Jádrem návrhu jsou záznamy TXT v doménách ENS a SNS. Tyto informace nejsou uloženy u jediného registrátora nebo poskytovatele hostingu, jehož infrastrukturu by bylo možné jednoduše vypnout. Malware si údaje načte z blockchainového jmenného systému a následně z nich odvodí adresy dalších uzlů .
Falešná IPv6 adresa jako návnada
Adresy řídicích serverů jsou ukryté uvnitř řetězců, které vypadají jako IPv6 adresy, například 2001:db8:12e7:13d7::1. Tyto řetězce jsou uloženy v TXT záznamech ENS nebo SNS. Malware z nich vytáhne skrytý čtyřbajtový klíč a pomocí vlastní permutační funkce F() z něj rekonstruuje skutečnou IPv4 adresu .
Upravené šifrování RC4
Konfigurace nejsou uloženy v otevřené podobě. Výzkumníci popsali výrazně upravenou variantu šifry RC4 se dvěma koly algoritmu plánování klíče (KSA): standardní část doplňuje promíchání S-boxu založené na lineárním kongruenčním generátoru. Ve fázi generování pseudonáhodné posloupnosti (PRGA) se přidává krok s lineárním posuvným registrem (LFSR) a složité bitové rotace .
XLab zveřejnila také algoritmus v podobě reprodukovatelné implementace v Pythonu, aby jej mohli analyzovat další bezpečnostní výzkumníci .
Dvoustupňové vyhledání řídicí infrastruktury
DDoS varianta nejprve kontaktuje doménu ENS nebo SNS, například burrberry.eth, a získá seznam IP adres relé. Poté na tato relé odešle požadavek ve tvaru GET /nodes?key=meowmeowmeow. Odpovědí je další seznam adres C2, který se skládá z jiných napadených zařízení fungujících jako prostředníci .
Rychlý vývoj od března do června 2026
Analýza XLab zachytila během několika měsíců řadu změn v kódu i infrastruktuře :
Datum
Vývoj
25. března
Zachycena první varianta odvozená od JackSkidu; použila doménu ENS m3rnbvs5d.eth.
1. dubna
Objevila se varianta fbot s výstupem "hail china mainland".
29.–30. dubna
Přibylo nové šifrování RC4 a doména ENS ukranianhorseriding.eth.
Začátek května
Byla přidána doména SNS 24carnforth2merseyside.sol, takže infrastruktura začala využívat více blockchainů.
25. června
Objevila se čistě reléová varianta, která odstranila všechny funkce DDoS a slouží pouze jako proxy uzel.
27.–28. června
Přibyla automatická konfigurace přesměrování portů prostřednictvím UPnP a dokončila se hybridní architektura botnetu.
Jak se botnet šíří
Dysphoria se šíří především hrubou silou proti přihlašovacím údajům pro Telnet a SSH. Útočníci zkoušejí slabá nebo výchozí hesla a hledají zařízení, která lze převzít bez dalšího zásahu uživatele.
Vedle toho malware zneužívá nejméně 14 známých zranitelností umožňujících vzdálené spuštění kódu (RCE). Zaměřuje se na routery, kamery a další zařízení s vestavěným Linuxem .
Mezi zneužívané chyby patří starší zranitelnosti, například CVE-2017-17215 a CVE-2020-8515, ale také novější případy CVE-2025-9528, CVE-2025-28137, CVE-2025-34152 a CVE-2025-55182. Kombinace starých i nově zveřejněných chyb podle výzkumníků ukazuje na průběžnou údržbu a aktivní vývoj botnetu .
Proč se Dysphoria likviduje hůř než starší botnety
Odolnost Dysphorie nestojí na jediné technologii, ale na několika vrstvách, které se navzájem doplňují.
Blockchainové jmenné služby ENS a SNS – informace o C2 nejsou závislé na běžné DNS infrastruktuře, kterou lze zabavit nebo zablokovat prostřednictvím registrátora. Provozovatel může údaje v blockchainovém záznamu změnit, aniž by musel přesouvat celý řídicí server .
Šifrované a algoritmicky chráněné konfigurace – adresy nejsou uloženy jako prostý text. Jsou ukryty ve falešných IPv6 řetězcích a chráněny vlastní variantou RC4. K jejich rozluštění je nutné přesně napodobit algoritmus zabudovaný v konkrétním vzorku malwaru .
Distribuovaná síť relé z napadených zařízení – novější architektura už nemusí spoléhat na pevnou skupinu serverů provozovatele. Příkazy mohou procházet přes kompromitované routery a další zařízení, která fungují jako obousměrná relé. Díky UPnP mohou některá z nich automaticky zpřístupnit potřebné porty .
Zablokování jedné IP adresy proto nemusí znamenat konec komunikace. DDoS uzly si mohou z blockchainu znovu vyžádat seznam relé a pokračovat přes jiné kompromitované zařízení. Stejně tak odstranění jedné domény neřeší celý problém, pokud botnet využívá více jmenných služeb a šifrované konfigurace .
XLab a CNCERT upozorňují, že právě spojení blockchainového vyhledávání, skrytých konfigurací a sítě relé z obětí rozbíjí klasický postup založený na zabavení serveru nebo domény. Dysphoria tak není „nezničitelná“, ale její infrastruktura je výrazně rozptýlenější a nákladnější na koordinované narušení než u tradičních IoT botnetů .
Jádrem návrhu jsou záznamy TXT v doménách ENS a SNS. Tyto informace nejsou uloženy u jediného registrátora nebo poskytovatele hostingu, jehož infrastrukturu by bylo možné jednoduše vypnout. Malware si údaje načte z blockchainového jmenného systému a následně z nich odvodí adresy dalších uzlů .
Falešná IPv6 adresa jako návnada
Adresy řídicích serverů jsou ukryté uvnitř řetězců, které vypadají jako IPv6 adresy, například 2001:db8:12e7:13d7::1. Tyto řetězce jsou uloženy v TXT záznamech ENS nebo SNS. Malware z nich vytáhne skrytý čtyřbajtový klíč a pomocí vlastní permutační funkce F() z něj rekonstruuje skutečnou IPv4 adresu .
Upravené šifrování RC4
Konfigurace nejsou uloženy v otevřené podobě. Výzkumníci popsali výrazně upravenou variantu šifry RC4 se dvěma koly algoritmu plánování klíče (KSA): standardní část doplňuje promíchání S-boxu založené na lineárním kongruenčním generátoru. Ve fázi generování pseudonáhodné posloupnosti (PRGA) se přidává krok s lineárním posuvným registrem (LFSR) a složité bitové rotace .
XLab zveřejnila také algoritmus v podobě reprodukovatelné implementace v Pythonu, aby jej mohli analyzovat další bezpečnostní výzkumníci .
Dvoustupňové vyhledání řídicí infrastruktury
DDoS varianta nejprve kontaktuje doménu ENS nebo SNS, například burrberry.eth, a získá seznam IP adres relé. Poté na tato relé odešle požadavek ve tvaru GET /nodes?key=meowmeowmeow. Odpovědí je další seznam adres C2, který se skládá z jiných napadených zařízení fungujících jako prostředníci .
Rychlý vývoj od března do června 2026
Analýza XLab zachytila během několika měsíců řadu změn v kódu i infrastruktuře :
Datum
Vývoj
25. března
Zachycena první varianta odvozená od JackSkidu; použila doménu ENS m3rnbvs5d.eth.
1. dubna
Objevila se varianta fbot s výstupem "hail china mainland".
29.–30. dubna
Přibylo nové šifrování RC4 a doména ENS ukranianhorseriding.eth.
Začátek května
Byla přidána doména SNS 24carnforth2merseyside.sol, takže infrastruktura začala využívat více blockchainů.
25. června
Objevila se čistě reléová varianta, která odstranila všechny funkce DDoS a slouží pouze jako proxy uzel.
27.–28. června
Přibyla automatická konfigurace přesměrování portů prostřednictvím UPnP a dokončila se hybridní architektura botnetu.
Jak se botnet šíří
Dysphoria se šíří především hrubou silou proti přihlašovacím údajům pro Telnet a SSH. Útočníci zkoušejí slabá nebo výchozí hesla a hledají zařízení, která lze převzít bez dalšího zásahu uživatele.
Vedle toho malware zneužívá nejméně 14 známých zranitelností umožňujících vzdálené spuštění kódu (RCE). Zaměřuje se na routery, kamery a další zařízení s vestavěným Linuxem .
Mezi zneužívané chyby patří starší zranitelnosti, například CVE-2017-17215 a CVE-2020-8515, ale také novější případy CVE-2025-9528, CVE-2025-28137, CVE-2025-34152 a CVE-2025-55182. Kombinace starých i nově zveřejněných chyb podle výzkumníků ukazuje na průběžnou údržbu a aktivní vývoj botnetu .
Proč se Dysphoria likviduje hůř než starší botnety
Odolnost Dysphorie nestojí na jediné technologii, ale na několika vrstvách, které se navzájem doplňují.
Blockchainové jmenné služby ENS a SNS – informace o C2 nejsou závislé na běžné DNS infrastruktuře, kterou lze zabavit nebo zablokovat prostřednictvím registrátora. Provozovatel může údaje v blockchainovém záznamu změnit, aniž by musel přesouvat celý řídicí server .
Šifrované a algoritmicky chráněné konfigurace – adresy nejsou uloženy jako prostý text. Jsou ukryty ve falešných IPv6 řetězcích a chráněny vlastní variantou RC4. K jejich rozluštění je nutné přesně napodobit algoritmus zabudovaný v konkrétním vzorku malwaru .
Distribuovaná síť relé z napadených zařízení – novější architektura už nemusí spoléhat na pevnou skupinu serverů provozovatele. Příkazy mohou procházet přes kompromitované routery a další zařízení, která fungují jako obousměrná relé. Díky UPnP mohou některá z nich automaticky zpřístupnit potřebné porty .
Zablokování jedné IP adresy proto nemusí znamenat konec komunikace. DDoS uzly si mohou z blockchainu znovu vyžádat seznam relé a pokračovat přes jiné kompromitované zařízení. Stejně tak odstranění jedné domény neřeší celý problém, pokud botnet využívá více jmenných služeb a šifrované konfigurace .
XLab a CNCERT upozorňují, že právě spojení blockchainového vyhledávání, skrytých konfigurací a sítě relé z obětí rozbíjí klasický postup založený na zabavení serveru nebo domény. Dysphoria tak není „nezničitelná“, ale její infrastruktura je výrazně rozptýlenější a nákladnější na koordinované narušení než u tradičních IoT botnetů .
