Dysphoria: el botnet que aprendió a esconderse en la blockchain
Dysphoria es un botnet para dispositivos IoT que ha infectado unos 200.000 equipos a nivel mundial utilizando registros en el servicio de nombres de Ethereum (ENS) y de Solana (SNS) para localizar su infraestructura d... Surgió inmediatamente después de una operación policial internacional de marzo de 2026 que desma...
Publicado porEditado con DeepSeek-V4-FlashImágenes generadas con GPT Image 1.5
Dysphoria es un botnet para dispositivos IoT que ha infectado unos 200.000 equipos a nivel mundial utilizando registros en el servicio de nombres de Ethereum (ENS) y de Solana (SNS) para localizar su infraestructura d...
Surgió inmediatamente después de una operación policial internacional de marzo de 2026 que desmanteló el botnet JackSkid.
La botnet se propaga mediante fuerza bruta sobre Telnet y SSH y explotando al menos 14 vulnerabilidades conocidas de ejecución remota de código.
La combinación de resolución de nombres en blockchain, configuraciones cifradas con un algoritmo propio y una malla de repetidores desde los propios dispositivos infectados hace que derribar una IP o un dominio concre...
What is the Dysphoria IoT botnet, which has infected approximately 200,000 devices worldwide by using Ethereum Name Service and Solana NameConceptual visualization of the Dysphoria botnet's blockchain-based command-and-control network.
Prompt de IA
Create a landscape editorial hero image for this Studio Global article: What is the Dysphoria IoT botnet, which has infected approximately 200,000 devices worldwide by using Ethereum Name Service and Solana Name. Article summary: **Dysphoria** is an IoT botnet that has infected an estimated 200,000 devices worldwide by replacing traditional command-and-control (C2) infrastructure with blockchain-based domain queries—Ethereum Name Service (ENS) an. Topic tags: general. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnai
openai.com
El botnet que aprendió a esconderse en la blockchain
Dysphoria marca un punto de inflexión en el diseño de botnets para IoT. Mientras que botnets anteriores como Mirai dependían de servidores centralizados y consultas DNS tradicionales que las autoridades podían intervenir, Dysphoria es el primer botnet importante que reemplaza toda esa infraestructura con servicios de nombres basados en blockchain, un sistema de ocultación criptográfica a medida y una red de repetidores autosuficiente construida a partir de sus propias víctimas .
Según documentaron los investigadores de QiAnXin XLab y CNCERT, Dysphoria surgió justo después de una operación policial internacional en marzo de 2026 que desmanteló el botnet JackSkid y otras redes importantes . En lugar de simplemente reconstruir lo perdido, los operadores diseñaron una arquitectura fundamentalmente más difícil de desarticular.
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
¿Cuál es la respuesta corta a "Dysphoria: el botnet que aprendió a esconderse en la blockchain"?
Dysphoria es un botnet para dispositivos IoT que ha infectado unos 200.000 equipos a nivel mundial utilizando registros en el servicio de nombres de Ethereum (ENS) y de Solana (SNS) para localizar su infraestructura d...
¿Cuáles son los puntos clave a validar primero?
Dysphoria es un botnet para dispositivos IoT que ha infectado unos 200.000 equipos a nivel mundial utilizando registros en el servicio de nombres de Ethereum (ENS) y de Solana (SNS) para localizar su infraestructura d... Surgió inmediatamente después de una operación policial internacional de marzo de 2026 que desmanteló el botnet JackSkid.
¿Qué debo hacer a continuación en la práctica?
La botnet se propaga mediante fuerza bruta sobre Telnet y SSH y explotando al menos 14 vulnerabilidades conocidas de ejecución remota de código.
Dysphoria: el botnet que aprendió a esconderse en la blockchain
Dysphoria es un botnet para dispositivos IoT que ha infectado unos 200.000 equipos a nivel mundial utilizando registros en el servicio de nombres de Ethereum (ENS) y de Solana (SNS) para localizar su infraestructura d... Surgió inmediatamente después de una operación policial internacional de marzo de 2026 que desma...
Publicado porEditado con DeepSeek-V4-FlashImágenes generadas con GPT Image 1.5
Dysphoria es un botnet para dispositivos IoT que ha infectado unos 200.000 equipos a nivel mundial utilizando registros en el servicio de nombres de Ethereum (ENS) y de Solana (SNS) para localizar su infraestructura d...
Surgió inmediatamente después de una operación policial internacional de marzo de 2026 que desmanteló el botnet JackSkid.
La botnet se propaga mediante fuerza bruta sobre Telnet y SSH y explotando al menos 14 vulnerabilidades conocidas de ejecución remota de código.
La combinación de resolución de nombres en blockchain, configuraciones cifradas con un algoritmo propio y una malla de repetidores desde los propios dispositivos infectados hace que derribar una IP o un dominio concre...
What is the Dysphoria IoT botnet, which has infected approximately 200,000 devices worldwide by using Ethereum Name Service and Solana NameConceptual visualization of the Dysphoria botnet's blockchain-based command-and-control network.
Prompt de IA
Create a landscape editorial hero image for this Studio Global article: What is the Dysphoria IoT botnet, which has infected approximately 200,000 devices worldwide by using Ethereum Name Service and Solana Name. Article summary: **Dysphoria** is an IoT botnet that has infected an estimated 200,000 devices worldwide by replacing traditional command-and-control (C2) infrastructure with blockchain-based domain queries—Ethereum Name Service (ENS) an. Topic tags: general. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnai
openai.com
El botnet que aprendió a esconderse en la blockchain
Dysphoria marca un punto de inflexión en el diseño de botnets para IoT. Mientras que botnets anteriores como Mirai dependían de servidores centralizados y consultas DNS tradicionales que las autoridades podían intervenir, Dysphoria es el primer botnet importante que reemplaza toda esa infraestructura con servicios de nombres basados en blockchain, un sistema de ocultación criptográfica a medida y una red de repetidores autosuficiente construida a partir de sus propias víctimas .
Según documentaron los investigadores de QiAnXin XLab y CNCERT, Dysphoria surgió justo después de una operación policial internacional en marzo de 2026 que desmanteló el botnet JackSkid y otras redes importantes . En lugar de simplemente reconstruir lo perdido, los operadores diseñaron una arquitectura fundamentalmente más difícil de desarticular.
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
¿Cuál es la respuesta corta a "Dysphoria: el botnet que aprendió a esconderse en la blockchain"?
Dysphoria es un botnet para dispositivos IoT que ha infectado unos 200.000 equipos a nivel mundial utilizando registros en el servicio de nombres de Ethereum (ENS) y de Solana (SNS) para localizar su infraestructura d...
¿Cuáles son los puntos clave a validar primero?
Dysphoria es un botnet para dispositivos IoT que ha infectado unos 200.000 equipos a nivel mundial utilizando registros en el servicio de nombres de Ethereum (ENS) y de Solana (SNS) para localizar su infraestructura d... Surgió inmediatamente después de una operación policial internacional de marzo de 2026 que desmanteló el botnet JackSkid.
¿Qué debo hacer a continuación en la práctica?
La botnet se propaga mediante fuerza bruta sobre Telnet y SSH y explotando al menos 14 vulnerabilidades conocidas de ejecución remota de código.
Cómo funciona: resolución de nombres en blockchain y C2 cifrado
La innovación principal es el uso de los servicios de nombres de Ethereum (ENS) y Solana (SNS) para localizar la infraestructura de mando y control. En lugar de registrar un dominio DNS que pueda ser incautado, el botnet almacena la información del C2 en registros TXT de la blockchain que ninguna entidad controla por sí sola .
Señuelo de direcciones IPv6 falsas
Las direcciones C2 se incrustan dentro de direcciones IPv6 falsas —por ejemplo, 2001:db8:12e7:13d7::1— almacenadas en registros TXT de ENS/SNS. El malware extrae solo una clave de 4 bytes de la cadena y la procesa con una función de permutación personalizada F() para recuperar la dirección IPv4 real [Informe principal de XLab].
Algoritmo de transformación de bytes propio
El descifrado utiliza un cifrado RC4 muy modificado con dos rondas del algoritmo de programación de claves (KSA): el RC4 estándar más una mezcla de la caja S basada en un generador lineal congruencial (LCG). La etapa del algoritmo de generación pseudoaleatoria (PRGA) incorpora un paso de registro de desplazamiento con retroalimentación lineal (LFSR) y rotaciones de bits complejas. XLab publicó un algoritmo completo reproducible en Python para investigadores [Informe principal de XLab].
Resolución C2 en dos etapas
La muestra DDoS primero consulta un dominio ENS/SNS (por ejemplo, burrberry.eth) para obtener un bloque de direcciones IP de nodos repetidores. Luego contacta a esos repetidores mediante GET /nodes?key=meowmeowmeow para recibir la lista final de direcciones C2, que a su vez está formada por otros dispositivos infectados que actúan como repetidores [Informe principal de XLab].
Evolución rápida de marzo a junio de 2026
El botnet experimentó iteraciones frecuentes y documentadas en solo tres meses [Informe principal de XLab]:
Fecha
Desarrollo
25 de marzo
Primera variante de JackSkid capturada; se usa el dominio ENS m3rnbvs5d.eth
1 de abril
Aparece la variante fbot (con salida "hail china mainland")
29–30 de abril
Nuevo cifrado RC4 y dominio ENS ukranianhorseriding.eth
Principios de mayo
Se añade el dominio SNS 24carnforth2merseyside.sol (C2 multicadena)
25 de junio
Aparece una variante de solo repetidor que elimina todas las capacidades DDoS y solo funciona como nodo proxy
27–28 de junio
Se añade la reasignación automática de puertos UPnP; se finaliza la arquitectura híbrida
Métodos de propagación
Dysphoria se propaga principalmente mediante fuerza bruta de credenciales Telnet y SSH, pero también explota al menos 14 vulnerabilidades conocidas de ejecución remota de código (RCE) que afectan a routers, cámaras y dispositivos Linux embebidos [Informe principal de XLab]. Las CVEs explotadas van desde fallos de IoT de larga data (CVE-2017-17215, CVE-2020-8515) hasta vulnerabilidades reveladas recientemente (CVE-2025-9528, CVE-2025-28137, CVE-2025-34152, CVE-2025-55182), lo que confirma un mantenimiento activo [Informe principal de XLab].
Por qué Dysphoria es mucho más difícil de desarticular
Tres decisiones de diseño entrelazadas rompen el manual de desarticulación clásico:
Resolución de nombres basada en blockchain (ENS + SNS) – Los dominios C2 se registran en blockchains públicos, no en infraestructura DNS que las autoridades puedan incautar. Los registros TXT son inmutables una vez escritos, y el operador puede simplemente actualizar el registro sin tocar ningún servidor [Informe principal de XLab].
Configuraciones cifradas y protegidas por algoritmo – Las direcciones C2 nunca se almacenan en texto plano. Están envueltas en direcciones IPv6 falsas, cifradas con un cifrado RC4 modificado, y solo pueden descodificarse ejecutando el algoritmo exacto de transformación de bytes incluido en cada muestra [Informe principal de XLab].
Malla de repetidores distribuida desde dispositivos infectados – Desde finales de junio, el botnet ya no depende de un conjunto fijo de servidores propiedad de los operadores. Las órdenes de ataque fluyen a través de una red de dispositivos comprometidos que actúan como repetidores bidireccionales impulsados por epoll con asignación de puertos UPnP. Derribar un repetidor solo hace que los bots DDoS consulten de nuevo la blockchain para obtener una lista actualizada de repetidores [Informe principal de XLab].
Como concluyeron XLab y CNCERT, esta combinación hace que derribar cualquier dirección IP o dominio concreto sea ineficaz porque la capa C2 está oculta criptográficamente, los registros de nombres están en una blockchain inmutable y la ruta de comandos atraviesa cientos de miles de routers domésticos rotatorios e imposibles de desmantelar [Informe principal de XLab].
secnews.gr
Dysphoria Botnet: ENS/SNS C2 and Relay/proxy Victim ...
Cómo funciona: resolución de nombres en blockchain y C2 cifrado
La innovación principal es el uso de los servicios de nombres de Ethereum (ENS) y Solana (SNS) para localizar la infraestructura de mando y control. En lugar de registrar un dominio DNS que pueda ser incautado, el botnet almacena la información del C2 en registros TXT de la blockchain que ninguna entidad controla por sí sola .
Señuelo de direcciones IPv6 falsas
Las direcciones C2 se incrustan dentro de direcciones IPv6 falsas —por ejemplo, 2001:db8:12e7:13d7::1— almacenadas en registros TXT de ENS/SNS. El malware extrae solo una clave de 4 bytes de la cadena y la procesa con una función de permutación personalizada F() para recuperar la dirección IPv4 real [Informe principal de XLab].
Algoritmo de transformación de bytes propio
El descifrado utiliza un cifrado RC4 muy modificado con dos rondas del algoritmo de programación de claves (KSA): el RC4 estándar más una mezcla de la caja S basada en un generador lineal congruencial (LCG). La etapa del algoritmo de generación pseudoaleatoria (PRGA) incorpora un paso de registro de desplazamiento con retroalimentación lineal (LFSR) y rotaciones de bits complejas. XLab publicó un algoritmo completo reproducible en Python para investigadores [Informe principal de XLab].
Resolución C2 en dos etapas
La muestra DDoS primero consulta un dominio ENS/SNS (por ejemplo, burrberry.eth) para obtener un bloque de direcciones IP de nodos repetidores. Luego contacta a esos repetidores mediante GET /nodes?key=meowmeowmeow para recibir la lista final de direcciones C2, que a su vez está formada por otros dispositivos infectados que actúan como repetidores [Informe principal de XLab].
Evolución rápida de marzo a junio de 2026
El botnet experimentó iteraciones frecuentes y documentadas en solo tres meses [Informe principal de XLab]:
Fecha
Desarrollo
25 de marzo
Primera variante de JackSkid capturada; se usa el dominio ENS m3rnbvs5d.eth
1 de abril
Aparece la variante fbot (con salida "hail china mainland")
29–30 de abril
Nuevo cifrado RC4 y dominio ENS ukranianhorseriding.eth
Principios de mayo
Se añade el dominio SNS 24carnforth2merseyside.sol (C2 multicadena)
25 de junio
Aparece una variante de solo repetidor que elimina todas las capacidades DDoS y solo funciona como nodo proxy
27–28 de junio
Se añade la reasignación automática de puertos UPnP; se finaliza la arquitectura híbrida
Métodos de propagación
Dysphoria se propaga principalmente mediante fuerza bruta de credenciales Telnet y SSH, pero también explota al menos 14 vulnerabilidades conocidas de ejecución remota de código (RCE) que afectan a routers, cámaras y dispositivos Linux embebidos [Informe principal de XLab]. Las CVEs explotadas van desde fallos de IoT de larga data (CVE-2017-17215, CVE-2020-8515) hasta vulnerabilidades reveladas recientemente (CVE-2025-9528, CVE-2025-28137, CVE-2025-34152, CVE-2025-55182), lo que confirma un mantenimiento activo [Informe principal de XLab].
Por qué Dysphoria es mucho más difícil de desarticular
Tres decisiones de diseño entrelazadas rompen el manual de desarticulación clásico:
Resolución de nombres basada en blockchain (ENS + SNS) – Los dominios C2 se registran en blockchains públicos, no en infraestructura DNS que las autoridades puedan incautar. Los registros TXT son inmutables una vez escritos, y el operador puede simplemente actualizar el registro sin tocar ningún servidor [Informe principal de XLab].
Configuraciones cifradas y protegidas por algoritmo – Las direcciones C2 nunca se almacenan en texto plano. Están envueltas en direcciones IPv6 falsas, cifradas con un cifrado RC4 modificado, y solo pueden descodificarse ejecutando el algoritmo exacto de transformación de bytes incluido en cada muestra [Informe principal de XLab].
Malla de repetidores distribuida desde dispositivos infectados – Desde finales de junio, el botnet ya no depende de un conjunto fijo de servidores propiedad de los operadores. Las órdenes de ataque fluyen a través de una red de dispositivos comprometidos que actúan como repetidores bidireccionales impulsados por epoll con asignación de puertos UPnP. Derribar un repetidor solo hace que los bots DDoS consulten de nuevo la blockchain para obtener una lista actualizada de repetidores [Informe principal de XLab].
Como concluyeron XLab y CNCERT, esta combinación hace que derribar cualquier dirección IP o dominio concreto sea ineficaz porque la capa C2 está oculta criptográficamente, los registros de nombres están en una blockchain inmutable y la ruta de comandos atraviesa cientos de miles de routers domésticos rotatorios e imposibles de desmantelar [Informe principal de XLab].
secnews.gr
Dysphoria Botnet: ENS/SNS C2 and Relay/proxy Victim ...
