Dysphoria: el botnet que aprendió a esconderse en la blockchain

Cómo funciona: resolución de nombres en blockchain y C2 cifrado

La innovación principal es el uso de los servicios de nombres de Ethereum (ENS) y Solana (SNS) para localizar la infraestructura de mando y control. En lugar de registrar un dominio DNS que pueda ser incautado, el botnet almacena la información del C2 en registros TXT de la blockchain que ninguna entidad controla por sí sola .

Señuelo de direcciones IPv6 falsas

Las direcciones C2 se incrustan dentro de direcciones IPv6 falsas —por ejemplo, 2001:db8:12e7:13d7::1— almacenadas en registros TXT de ENS/SNS. El malware extrae solo una clave de 4 bytes de la cadena y la procesa con una función de permutación personalizada F() para recuperar la dirección IPv4 real [Informe principal de XLab].

Algoritmo de transformación de bytes propio

El descifrado utiliza un cifrado RC4 muy modificado con dos rondas del algoritmo de programación de claves (KSA): el RC4 estándar más una mezcla de la caja S basada en un generador lineal congruencial (LCG). La etapa del algoritmo de generación pseudoaleatoria (PRGA) incorpora un paso de registro de desplazamiento con retroalimentación lineal (LFSR) y rotaciones de bits complejas. XLab publicó un algoritmo completo reproducible en Python para investigadores [Informe principal de XLab].

Resolución C2 en dos etapas

La muestra DDoS primero consulta un dominio ENS/SNS (por ejemplo, burrberry.eth) para obtener un bloque de direcciones IP de nodos repetidores. Luego contacta a esos repetidores mediante GET /nodes?key=meowmeowmeow para recibir la lista final de direcciones C2, que a su vez está formada por otros dispositivos infectados que actúan como repetidores [Informe principal de XLab].

Evolución rápida de marzo a junio de 2026

El botnet experimentó iteraciones frecuentes y documentadas en solo tres meses [Informe principal de XLab]:

Métodos de propagación

Dysphoria se propaga principalmente mediante fuerza bruta de credenciales Telnet y SSH, pero también explota al menos 14 vulnerabilidades conocidas de ejecución remota de código (RCE) que afectan a routers, cámaras y dispositivos Linux embebidos [Informe principal de XLab]. Las CVEs explotadas van desde fallos de IoT de larga data (CVE-2017-17215, CVE-2020-8515) hasta vulnerabilidades reveladas recientemente (CVE-2025-9528, CVE-2025-28137, CVE-2025-34152, CVE-2025-55182), lo que confirma un mantenimiento activo [Informe principal de XLab].

Por qué Dysphoria es mucho más difícil de desarticular

Tres decisiones de diseño entrelazadas rompen el manual de desarticulación clásico:

1. Resolución de nombres basada en blockchain (ENS + SNS) – Los dominios C2 se registran en blockchains públicos, no en infraestructura DNS que las autoridades puedan incautar. Los registros TXT son inmutables una vez escritos, y el operador puede simplemente actualizar el registro sin tocar ningún servidor [Informe principal de XLab].
2. Configuraciones cifradas y protegidas por algoritmo – Las direcciones C2 nunca se almacenan en texto plano. Están envueltas en direcciones IPv6 falsas, cifradas con un cifrado RC4 modificado, y solo pueden descodificarse ejecutando el algoritmo exacto de transformación de bytes incluido en cada muestra [Informe principal de XLab].
3. Malla de repetidores distribuida desde dispositivos infectados – Desde finales de junio, el botnet ya no depende de un conjunto fijo de servidores propiedad de los operadores. Las órdenes de ataque fluyen a través de una red de dispositivos comprometidos que actúan como repetidores bidireccionales impulsados por epoll con asignación de puertos UPnP. Derribar un repetidor solo hace que los bots DDoS consulten de nuevo la blockchain para obtener una lista actualizada de repetidores [Informe principal de XLab].

Como concluyeron XLab y CNCERT, esta combinación hace que derribar cualquier dirección IP o dominio concreto sea ineficaz porque la capa C2 está oculta criptográficamente, los registros de nombres están en una blockchain inmutable y la ruta de comandos atraviesa cientos de miles de routers domésticos rotatorios e imposibles de desmantelar [Informe principal de XLab].