Dysphoria: botnet, který si vybudoval vlastní síť relé a skrývá C2 v blockchainu

Jak Dysphoria získává adresy C2

Jádrem návrhu jsou záznamy TXT v doménách ENS a SNS. Tyto informace nejsou uloženy u jediného registrátora nebo poskytovatele hostingu, jehož infrastrukturu by bylo možné jednoduše vypnout. Malware si údaje načte z blockchainového jmenného systému a následně z nich odvodí adresy dalších uzlů .

Falešná IPv6 adresa jako návnada

Adresy řídicích serverů jsou ukryté uvnitř řetězců, které vypadají jako IPv6 adresy, například 2001:db8:12e7:13d7::1. Tyto řetězce jsou uloženy v TXT záznamech ENS nebo SNS. Malware z nich vytáhne skrytý čtyřbajtový klíč a pomocí vlastní permutační funkce F() z něj rekonstruuje skutečnou IPv4 adresu .

Upravené šifrování RC4

Konfigurace nejsou uloženy v otevřené podobě. Výzkumníci popsali výrazně upravenou variantu šifry RC4 se dvěma koly algoritmu plánování klíče (KSA): standardní část doplňuje promíchání S-boxu založené na lineárním kongruenčním generátoru. Ve fázi generování pseudonáhodné posloupnosti (PRGA) se přidává krok s lineárním posuvným registrem (LFSR) a složité bitové rotace .

XLab zveřejnila také algoritmus v podobě reprodukovatelné implementace v Pythonu, aby jej mohli analyzovat další bezpečnostní výzkumníci .

Dvoustupňové vyhledání řídicí infrastruktury

DDoS varianta nejprve kontaktuje doménu ENS nebo SNS, například burrberry.eth, a získá seznam IP adres relé. Poté na tato relé odešle požadavek ve tvaru GET /nodes?key=meowmeowmeow. Odpovědí je další seznam adres C2, který se skládá z jiných napadených zařízení fungujících jako prostředníci .

Rychlý vývoj od března do června 2026

Analýza XLab zachytila během několika měsíců řadu změn v kódu i infrastruktuře :

Jak se botnet šíří

Dysphoria se šíří především hrubou silou proti přihlašovacím údajům pro Telnet a SSH. Útočníci zkoušejí slabá nebo výchozí hesla a hledají zařízení, která lze převzít bez dalšího zásahu uživatele.

Vedle toho malware zneužívá nejméně 14 známých zranitelností umožňujících vzdálené spuštění kódu (RCE). Zaměřuje se na routery, kamery a další zařízení s vestavěným Linuxem .

Mezi zneužívané chyby patří starší zranitelnosti, například CVE-2017-17215 a CVE-2020-8515, ale také novější případy CVE-2025-9528, CVE-2025-28137, CVE-2025-34152 a CVE-2025-55182. Kombinace starých i nově zveřejněných chyb podle výzkumníků ukazuje na průběžnou údržbu a aktivní vývoj botnetu .

Proč se Dysphoria likviduje hůř než starší botnety

Odolnost Dysphorie nestojí na jediné technologii, ale na několika vrstvách, které se navzájem doplňují.

1. Blockchainové jmenné služby ENS a SNS – informace o C2 nejsou závislé na běžné DNS infrastruktuře, kterou lze zabavit nebo zablokovat prostřednictvím registrátora. Provozovatel může údaje v blockchainovém záznamu změnit, aniž by musel přesouvat celý řídicí server .
2. Šifrované a algoritmicky chráněné konfigurace – adresy nejsou uloženy jako prostý text. Jsou ukryty ve falešných IPv6 řetězcích a chráněny vlastní variantou RC4. K jejich rozluštění je nutné přesně napodobit algoritmus zabudovaný v konkrétním vzorku malwaru .
3. Distribuovaná síť relé z napadených zařízení – novější architektura už nemusí spoléhat na pevnou skupinu serverů provozovatele. Příkazy mohou procházet přes kompromitované routery a další zařízení, která fungují jako obousměrná relé. Díky UPnP mohou některá z nich automaticky zpřístupnit potřebné porty .

Zablokování jedné IP adresy proto nemusí znamenat konec komunikace. DDoS uzly si mohou z blockchainu znovu vyžádat seznam relé a pokračovat přes jiné kompromitované zařízení. Stejně tak odstranění jedné domény neřeší celý problém, pokud botnet využívá více jmenných služeb a šifrované konfigurace .

XLab a CNCERT upozorňují, že právě spojení blockchainového vyhledávání, skrytých konfigurací a sítě relé z obětí rozbíjí klasický postup založený na zabavení serveru nebo domény. Dysphoria tak není „nezničitelná“, ale její infrastruktura je výrazně rozptýlenější a nákladnější na koordinované narušení než u tradičních IoT botnetů .