Dysphoria: Das Botnetz, das sich auf der Blockchain versteckt

Fake-IPv6-String als Köder

C2-Adressen sind in gefälschte IPv6-Adressen eingebettet – zum Beispiel 2001:db8:12e7:13d7::1 – die in ENS/SNS-TXT-Einträgen gespeichert sind. Die Malware extrahiert nur einen 4-Byte-Schlüssel aus dem String und führt ihn durch eine benutzerdefinierte Permutationsfunktion F(), um die echte IPv4-Adresse wiederherzustellen [Primärer XLab-Bericht].

Benutzerdefinierter Byte-Transformationsalgorithmus

Die Entschlüsselung verwendet eine stark modifizierte RC4-Chiffre mit zwei Key Scheduling Algorithm (KSA)-Durchläufen: Standard-RC4 plus einem LCG-basierten S-Box-Shuffle. Die Pseudo-Random Generation Algorithm (PRGA)-Stufe mischt einen Linear Feedback Shift Register (LFSR)-Schritt und komplexe Bit-Rotationen bei. XLab hat einen vollständigen, in Python reproduzierbaren Algorithmus für Forscher veröffentlicht [Primärer XLab-Bericht].

Zwei-Stufen-C2-Auflösung

Die DDoS-Probe fragt zunächst eine ENS/SNS-Domain ab (z.B. burrberry.eth), um einen Block von Relay-Knoten-IPs abzurufen. Sie kontaktiert dann diese Relays via

GET /nodes?key=meowmeowmeow

Rasante Entwicklung von März bis Juni 2026

Das Botnetz durchlief in nur drei Monaten dokumentierte, häufige Iterationen [Primärer XLab-Bericht]:

Verbreitungsmethoden

Dysphoria verbreitet sich hauptsächlich durch Brute-Force-Angriffe auf Telnet- und SSH-Zugangsdaten, nutzt aber auch mindestens 14 bekannte Schwachstellen zur Remote-Code-Ausführung (RCE) aus, die Router, Kameras und eingebettete Linux-Geräte betreffen [Primärer XLab-Bericht]. Die ausgenutzten CVEs reichen von langlebigen IoT-Schwachstellen (CVE-2017-17215, CVE-2020-8515) bis hin zu kürzlich offengelegten Sicherheitslücken (CVE-2025-9528, CVE-2025-28137, CVE-2025-34152, CVE-2025-55182), was die aktive Wartung bestätigt [Primärer XLab-Bericht].

Warum Dysphoria so viel schwerer zu zerschlagen ist

Drei miteinander verzahnte Designentscheidungen hebeln das klassische Abschalt-Szenario aus:

1. Blockchain-basierte Namensauflösung (ENS + SNS) – C2-Domains sind auf öffentlichen Blockchains registriert, nicht auf DNS-Infrastruktur, die Strafverfolgungsbehörden beschlagnahmen können. TXT-Einträge sind nach dem Schreiben unveränderlich, und der Betreiber kann den Eintrag einfach aktualisieren, ohne einen Server zu berühren [Primärer XLab-Bericht].
2. Verschlüsselte, algorithmengeschützte Konfigurationen – C2-Adressen werden niemals im Klartext gespeichert. Sie sind in gefälschte IPv6-Strings verpackt, mit einer benutzerdefinierten RC4-Variant-Chiffre verschlüsselt und können nur durch Ausführen des exakten, in jede Probe einprogrammierten Byte-Transformationsalgorithmus entschlüsselt werden [Primärer XLab-Bericht].
3. Verteiltes Relay-Mesh aus infizierten Geräten – Seit Ende Juni ist das Botnetz nicht mehr von einem festen Satz betreibereigener Server abhängig. Angriffsbefehle fließen durch ein Netzwerk kompromittierter Geräte, die als bidirektionale, epoll-gesteuerte Relays mit UPnP-Portzuordnung fungieren. Das Abschalten eines Relays führt nur dazu, dass die DDoS-Bots die Blockchain erneut nach einer frischen Relay-Liste abfragen [Primärer XLab-Bericht].

Wie XLab und CNCERT folgerten, bedeutet diese Kombination, dass das Abschalten einer einzelnen IP-Adresse oder Domain wirkungslos ist, da die C2-Ebene kryptografisch verborgen ist, die Namenseinträge auf einer unveränderlichen Blockchain liegen und der Befehlsweg durch Hunderttausende wechselnder, nicht abschaltbarer Heimrouter führt [Primärer XLab-Bericht].