Dysphoria: Das Botnetz, das sich auf der Blockchain versteckt
Dysphoria ist ein IoT Botnetz, das schätzungsweise 200.000 Geräte weltweit infiziert hat, indem es die Ethereum Name Service (ENS) und Solana Name Service (SNS) Blockchain Einträge zur Auflösung seiner Kommando und Ko... Das Botnetz entstand direkt nach einer multinationalen Polizeiaktion im März 2026, die das JackS...
Veröffentlicht vonBearbeitet mit DeepSeek-V4-FlashBilder erstellt mit GPT Image 1.5
Dysphoria ist ein IoT Botnetz, das schätzungsweise 200.000 Geräte weltweit infiziert hat, indem es die Ethereum Name Service (ENS) und Solana Name Service (SNS) Blockchain Einträge zur Auflösung seiner Kommando und Ko...
Das Botnetz entstand direkt nach einer multinationalen Polizeiaktion im März 2026, die das JackSkid Botnetz und andere große Netzwerke zerschlug.
Zu den Techniken gehören gefälschte IPv6 Strings zur Verschleierung von C2 Adressen, eine stark modifizierte RC4 Chiffre und ein verteiltes Relay Netzwerk, bei dem infizierte Geräte als bidirektionale Proxys fungieren.
What is the Dysphoria IoT botnet, which has infected approximately 200,000 devices worldwide by using Ethereum Name Service and Solana NameConceptual visualization of the Dysphoria botnet's blockchain-based command-and-control network.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: What is the Dysphoria IoT botnet, which has infected approximately 200,000 devices worldwide by using Ethereum Name Service and Solana Name. Article summary: **Dysphoria** is an IoT botnet that has infected an estimated 200,000 devices worldwide by replacing traditional command-and-control (C2) infrastructure with blockchain-based domain queries—Ethereum Name Service (ENS) an. Topic tags: general. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnai
openai.com
Das Botnetz, das sich auf der Blockchain versteckt
Dysphoria ist ein neuer Meilenstein in der Entwicklung von IoT-Botnetzen. Während frühere Botnetze wie Mirai auf zentralisierte Server und traditionelle DNS-Abfragen angewiesen waren, die von Strafverfolgungsbehörden beschlagnahmt werden konnten, ist Dysphoria das erste große Botnetz, das diese gesamte Infrastruktur durch blockchain-basierte Namensdienste, ein eigenes kryptografisches Versteck-Schema und ein selbsttragendes Relay-Netzwerk aus eigenen Opfern ersetzt hat .
Wie die Forscher von QiAnXin XLab und CNCERT dokumentierten, tauchte Dysphoria unmittelbar nach einer multinationalen Polizeiaktion im März 2026 auf, die das JackSkid-Botnetz und andere große Netzwerke lahmlegte . Anstatt das Verlorene einfach neu aufzubauen, entwickelten die Betreiber eine grundlegend schwerer zu zerschlagende Architektur.
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „Dysphoria: Das Botnetz, das sich auf der Blockchain versteckt“?
Dysphoria ist ein IoT Botnetz, das schätzungsweise 200.000 Geräte weltweit infiziert hat, indem es die Ethereum Name Service (ENS) und Solana Name Service (SNS) Blockchain Einträge zur Auflösung seiner Kommando und Ko...
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Dysphoria ist ein IoT Botnetz, das schätzungsweise 200.000 Geräte weltweit infiziert hat, indem es die Ethereum Name Service (ENS) und Solana Name Service (SNS) Blockchain Einträge zur Auflösung seiner Kommando und Ko... Das Botnetz entstand direkt nach einer multinationalen Polizeiaktion im März 2026, die das JackSkid Botnetz und andere große Netzwerke zerschlug.
Was soll ich als nächstes in der Praxis tun?
Zu den Techniken gehören gefälschte IPv6 Strings zur Verschleierung von C2 Adressen, eine stark modifizierte RC4 Chiffre und ein verteiltes Relay Netzwerk, bei dem infizierte Geräte als bidirektionale Proxys fungieren.
Dysphoria: Das Botnetz, das sich auf der Blockchain versteckt
Dysphoria ist ein IoT Botnetz, das schätzungsweise 200.000 Geräte weltweit infiziert hat, indem es die Ethereum Name Service (ENS) und Solana Name Service (SNS) Blockchain Einträge zur Auflösung seiner Kommando und Ko... Das Botnetz entstand direkt nach einer multinationalen Polizeiaktion im März 2026, die das JackS...
Veröffentlicht vonBearbeitet mit DeepSeek-V4-FlashBilder erstellt mit GPT Image 1.5
Dysphoria ist ein IoT Botnetz, das schätzungsweise 200.000 Geräte weltweit infiziert hat, indem es die Ethereum Name Service (ENS) und Solana Name Service (SNS) Blockchain Einträge zur Auflösung seiner Kommando und Ko...
Das Botnetz entstand direkt nach einer multinationalen Polizeiaktion im März 2026, die das JackSkid Botnetz und andere große Netzwerke zerschlug.
Zu den Techniken gehören gefälschte IPv6 Strings zur Verschleierung von C2 Adressen, eine stark modifizierte RC4 Chiffre und ein verteiltes Relay Netzwerk, bei dem infizierte Geräte als bidirektionale Proxys fungieren.
What is the Dysphoria IoT botnet, which has infected approximately 200,000 devices worldwide by using Ethereum Name Service and Solana NameConceptual visualization of the Dysphoria botnet's blockchain-based command-and-control network.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: What is the Dysphoria IoT botnet, which has infected approximately 200,000 devices worldwide by using Ethereum Name Service and Solana Name. Article summary: **Dysphoria** is an IoT botnet that has infected an estimated 200,000 devices worldwide by replacing traditional command-and-control (C2) infrastructure with blockchain-based domain queries—Ethereum Name Service (ENS) an. Topic tags: general. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnai
openai.com
Das Botnetz, das sich auf der Blockchain versteckt
Dysphoria ist ein neuer Meilenstein in der Entwicklung von IoT-Botnetzen. Während frühere Botnetze wie Mirai auf zentralisierte Server und traditionelle DNS-Abfragen angewiesen waren, die von Strafverfolgungsbehörden beschlagnahmt werden konnten, ist Dysphoria das erste große Botnetz, das diese gesamte Infrastruktur durch blockchain-basierte Namensdienste, ein eigenes kryptografisches Versteck-Schema und ein selbsttragendes Relay-Netzwerk aus eigenen Opfern ersetzt hat .
Wie die Forscher von QiAnXin XLab und CNCERT dokumentierten, tauchte Dysphoria unmittelbar nach einer multinationalen Polizeiaktion im März 2026 auf, die das JackSkid-Botnetz und andere große Netzwerke lahmlegte . Anstatt das Verlorene einfach neu aufzubauen, entwickelten die Betreiber eine grundlegend schwerer zu zerschlagende Architektur.
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „Dysphoria: Das Botnetz, das sich auf der Blockchain versteckt“?
Dysphoria ist ein IoT Botnetz, das schätzungsweise 200.000 Geräte weltweit infiziert hat, indem es die Ethereum Name Service (ENS) und Solana Name Service (SNS) Blockchain Einträge zur Auflösung seiner Kommando und Ko...
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Dysphoria ist ein IoT Botnetz, das schätzungsweise 200.000 Geräte weltweit infiziert hat, indem es die Ethereum Name Service (ENS) und Solana Name Service (SNS) Blockchain Einträge zur Auflösung seiner Kommando und Ko... Das Botnetz entstand direkt nach einer multinationalen Polizeiaktion im März 2026, die das JackSkid Botnetz und andere große Netzwerke zerschlug.
Was soll ich als nächstes in der Praxis tun?
Zu den Techniken gehören gefälschte IPv6 Strings zur Verschleierung von C2 Adressen, eine stark modifizierte RC4 Chiffre und ein verteiltes Relay Netzwerk, bei dem infizierte Geräte als bidirektionale Proxys fungieren.
So funktioniert es: Blockchain-Namensauflösung und verschlüsselte C2
Die Kerninnovation ist die Nutzung von Ethereum Name Service (ENS) und Solana Name Service (SNS)-Domains, um die Kommando- und Kontrollinfrastruktur zu lokalisieren. Anstatt eine DNS-Domain zu registrieren, die beschlagnahmt werden kann, speichert das Botnetz C2-Informationen in Blockchain-TXT-Einträgen, die keine einzelne Instanz kontrolliert .
Fake-IPv6-String als Köder
C2-Adressen sind in gefälschte IPv6-Adressen eingebettet – zum Beispiel 2001:db8:12e7:13d7::1 – die in ENS/SNS-TXT-Einträgen gespeichert sind. Die Malware extrahiert nur einen 4-Byte-Schlüssel aus dem String und führt ihn durch eine benutzerdefinierte Permutationsfunktion F(), um die echte IPv4-Adresse wiederherzustellen [Primärer XLab-Bericht].
Die Entschlüsselung verwendet eine stark modifizierte RC4-Chiffre mit zwei Key Scheduling Algorithm (KSA)-Durchläufen: Standard-RC4 plus einem LCG-basierten S-Box-Shuffle. Die Pseudo-Random Generation Algorithm (PRGA)-Stufe mischt einen Linear Feedback Shift Register (LFSR)-Schritt und komplexe Bit-Rotationen bei. XLab hat einen vollständigen, in Python reproduzierbaren Algorithmus für Forscher veröffentlicht [Primärer XLab-Bericht].
Zwei-Stufen-C2-Auflösung
Die DDoS-Probe fragt zunächst eine ENS/SNS-Domain ab (z.B. burrberry.eth), um einen Block von Relay-Knoten-IPs abzurufen. Sie kontaktiert dann diese Relays via GET /nodes?key=meowmeowmeow, um die endgültige C2-Adressliste zu erhalten – die selbst aus anderen infizierten Geräten besteht, die als Relays fungieren [Primärer XLab-Bericht].
Rasante Entwicklung von März bis Juni 2026
Das Botnetz durchlief in nur drei Monaten dokumentierte, häufige Iterationen [Primärer XLab-Bericht]:
Datum
Entwicklung
25. März
Erste JackSkid-Variante erfasst; ENS-Domain m3rnbvs5d.eth verwendet
1. April
fbot-Variante erscheint (Ausgabe: "hail china mainland")
29.–30. April
Neue RC4-Verschlüsselung und ENS-Domain ukranianhorseriding.eth
Dysphoria verbreitet sich hauptsächlich durch Brute-Force-Angriffe auf Telnet- und SSH-Zugangsdaten, nutzt aber auch mindestens 14 bekannte Schwachstellen zur Remote-Code-Ausführung (RCE) aus, die Router, Kameras und eingebettete Linux-Geräte betreffen [Primärer XLab-Bericht]. Die ausgenutzten CVEs reichen von langlebigen IoT-Schwachstellen (CVE-2017-17215, CVE-2020-8515) bis hin zu kürzlich offengelegten Sicherheitslücken (CVE-2025-9528, CVE-2025-28137, CVE-2025-34152, CVE-2025-55182), was die aktive Wartung bestätigt [Primärer XLab-Bericht].
Warum Dysphoria so viel schwerer zu zerschlagen ist
Drei miteinander verzahnte Designentscheidungen hebeln das klassische Abschalt-Szenario aus:
Blockchain-basierte Namensauflösung (ENS + SNS) – C2-Domains sind auf öffentlichen Blockchains registriert, nicht auf DNS-Infrastruktur, die Strafverfolgungsbehörden beschlagnahmen können. TXT-Einträge sind nach dem Schreiben unveränderlich, und der Betreiber kann den Eintrag einfach aktualisieren, ohne einen Server zu berühren [Primärer XLab-Bericht].
Verschlüsselte, algorithmengeschützte Konfigurationen – C2-Adressen werden niemals im Klartext gespeichert. Sie sind in gefälschte IPv6-Strings verpackt, mit einer benutzerdefinierten RC4-Variant-Chiffre verschlüsselt und können nur durch Ausführen des exakten, in jede Probe einprogrammierten Byte-Transformationsalgorithmus entschlüsselt werden [Primärer XLab-Bericht].
Verteiltes Relay-Mesh aus infizierten Geräten – Seit Ende Juni ist das Botnetz nicht mehr von einem festen Satz betreibereigener Server abhängig. Angriffsbefehle fließen durch ein Netzwerk kompromittierter Geräte, die als bidirektionale, epoll-gesteuerte Relays mit UPnP-Portzuordnung fungieren. Das Abschalten eines Relays führt nur dazu, dass die DDoS-Bots die Blockchain erneut nach einer frischen Relay-Liste abfragen [Primärer XLab-Bericht].
Wie XLab und CNCERT folgerten, bedeutet diese Kombination, dass das Abschalten einer einzelnen IP-Adresse oder Domain wirkungslos ist, da die C2-Ebene kryptografisch verborgen ist, die Namenseinträge auf einer unveränderlichen Blockchain liegen und der Befehlsweg durch Hunderttausende wechselnder, nicht abschaltbarer Heimrouter führt [Primärer XLab-Bericht].
secnews.gr
Dysphoria Botnet: ENS/SNS C2 and Relay/proxy Victim ...
So funktioniert es: Blockchain-Namensauflösung und verschlüsselte C2
Die Kerninnovation ist die Nutzung von Ethereum Name Service (ENS) und Solana Name Service (SNS)-Domains, um die Kommando- und Kontrollinfrastruktur zu lokalisieren. Anstatt eine DNS-Domain zu registrieren, die beschlagnahmt werden kann, speichert das Botnetz C2-Informationen in Blockchain-TXT-Einträgen, die keine einzelne Instanz kontrolliert .
Fake-IPv6-String als Köder
C2-Adressen sind in gefälschte IPv6-Adressen eingebettet – zum Beispiel 2001:db8:12e7:13d7::1 – die in ENS/SNS-TXT-Einträgen gespeichert sind. Die Malware extrahiert nur einen 4-Byte-Schlüssel aus dem String und führt ihn durch eine benutzerdefinierte Permutationsfunktion F(), um die echte IPv4-Adresse wiederherzustellen [Primärer XLab-Bericht].
Die Entschlüsselung verwendet eine stark modifizierte RC4-Chiffre mit zwei Key Scheduling Algorithm (KSA)-Durchläufen: Standard-RC4 plus einem LCG-basierten S-Box-Shuffle. Die Pseudo-Random Generation Algorithm (PRGA)-Stufe mischt einen Linear Feedback Shift Register (LFSR)-Schritt und komplexe Bit-Rotationen bei. XLab hat einen vollständigen, in Python reproduzierbaren Algorithmus für Forscher veröffentlicht [Primärer XLab-Bericht].
Zwei-Stufen-C2-Auflösung
Die DDoS-Probe fragt zunächst eine ENS/SNS-Domain ab (z.B. burrberry.eth), um einen Block von Relay-Knoten-IPs abzurufen. Sie kontaktiert dann diese Relays via GET /nodes?key=meowmeowmeow, um die endgültige C2-Adressliste zu erhalten – die selbst aus anderen infizierten Geräten besteht, die als Relays fungieren [Primärer XLab-Bericht].
Rasante Entwicklung von März bis Juni 2026
Das Botnetz durchlief in nur drei Monaten dokumentierte, häufige Iterationen [Primärer XLab-Bericht]:
Datum
Entwicklung
25. März
Erste JackSkid-Variante erfasst; ENS-Domain m3rnbvs5d.eth verwendet
1. April
fbot-Variante erscheint (Ausgabe: "hail china mainland")
29.–30. April
Neue RC4-Verschlüsselung und ENS-Domain ukranianhorseriding.eth
Dysphoria verbreitet sich hauptsächlich durch Brute-Force-Angriffe auf Telnet- und SSH-Zugangsdaten, nutzt aber auch mindestens 14 bekannte Schwachstellen zur Remote-Code-Ausführung (RCE) aus, die Router, Kameras und eingebettete Linux-Geräte betreffen [Primärer XLab-Bericht]. Die ausgenutzten CVEs reichen von langlebigen IoT-Schwachstellen (CVE-2017-17215, CVE-2020-8515) bis hin zu kürzlich offengelegten Sicherheitslücken (CVE-2025-9528, CVE-2025-28137, CVE-2025-34152, CVE-2025-55182), was die aktive Wartung bestätigt [Primärer XLab-Bericht].
Warum Dysphoria so viel schwerer zu zerschlagen ist
Drei miteinander verzahnte Designentscheidungen hebeln das klassische Abschalt-Szenario aus:
Blockchain-basierte Namensauflösung (ENS + SNS) – C2-Domains sind auf öffentlichen Blockchains registriert, nicht auf DNS-Infrastruktur, die Strafverfolgungsbehörden beschlagnahmen können. TXT-Einträge sind nach dem Schreiben unveränderlich, und der Betreiber kann den Eintrag einfach aktualisieren, ohne einen Server zu berühren [Primärer XLab-Bericht].
Verschlüsselte, algorithmengeschützte Konfigurationen – C2-Adressen werden niemals im Klartext gespeichert. Sie sind in gefälschte IPv6-Strings verpackt, mit einer benutzerdefinierten RC4-Variant-Chiffre verschlüsselt und können nur durch Ausführen des exakten, in jede Probe einprogrammierten Byte-Transformationsalgorithmus entschlüsselt werden [Primärer XLab-Bericht].
Verteiltes Relay-Mesh aus infizierten Geräten – Seit Ende Juni ist das Botnetz nicht mehr von einem festen Satz betreibereigener Server abhängig. Angriffsbefehle fließen durch ein Netzwerk kompromittierter Geräte, die als bidirektionale, epoll-gesteuerte Relays mit UPnP-Portzuordnung fungieren. Das Abschalten eines Relays führt nur dazu, dass die DDoS-Bots die Blockchain erneut nach einer frischen Relay-Liste abfragen [Primärer XLab-Bericht].
Wie XLab und CNCERT folgerten, bedeutet diese Kombination, dass das Abschalten einer einzelnen IP-Adresse oder Domain wirkungslos ist, da die C2-Ebene kryptografisch verborgen ist, die Namenseinträge auf einer unveränderlichen Blockchain liegen und der Befehlsweg durch Hunderttausende wechselnder, nicht abschaltbarer Heimrouter führt [Primärer XLab-Bericht].
secnews.gr
Dysphoria Botnet: ENS/SNS C2 and Relay/proxy Victim ...
