Le botnet IoT Dysphoria : 200 000 appareils infectés par un C2 basé sur la blockchain quasi impossible à démanteler

Comment ça marche : résolution de noms via blockchain et C2 chiffré

L'innovation centrale est l'utilisation des domaines Ethereum Name Service (ENS) et Solana Name Service (SNS) pour localiser l'infrastructure de commande et de contrôle. Au lieu d'enregistrer un nom de domaine DNS qui peut être saisi, le botnet stocke les informations C2 dans des enregistrements TXT de la blockchain, qu'aucune entité unique ne contrôle .

Leurre par fausse adresse IPv6

Les adresses C2 sont encapsulées dans de fausses adresses IPv6, par exemple 2001:db8:12e7:13d7::1, stockées dans des enregistrements TXT ENS/SNS. Le malware n'extrait qu'une clé de 4 octets de la chaîne et la traite via une fonction de permutation personnalisée F() pour récupérer la véritable adresse IPv4 [Rapport XLab principal].

Algorithme de transformation d'octets personnalisé

Le déchiffrement utilise un chiffrement RC4 lourdement modifié avec deux cycles d'algorithme de planification de clés (KSA) : un RC4 standard plus un brassage de la S-box basé sur un LCG. L'étape de génération de nombres pseudo-aléatoires (PRGA) intègre une étape de registre à décalage à rétroaction linéaire (LFSR) et des rotations de bits complexes. XLab a publié un algorithme reproductible en Python pour les chercheurs [Rapport XLab principal].

Résolution C2 en deux étapes

L'échantillon DDoS interroge d'abord un domaine ENS/SNS (par exemple, burrberry.eth) pour récupérer un bloc d'adresses IP de nœuds relais. Il contacte ensuite ces relais via GET /nodes?key=meowmeowmeow pour recevoir la liste finale des adresses C2, qui est elle-même composée d'autres appareils infectés agissant comme relais [Rapport XLab principal].

Évolution rapide de mars à juin 2026

Le botnet a subi des itérations fréquentes et documentées en seulement trois mois [Rapport XLab principal] :

Méthodes de propagation

Dysphoria se propage principalement par forçage brutal des identifiants Telnet et SSH, mais il exploite également au moins 14 vulnérabilités connues d'exécution de code à distance (RCE) ciblant les routeurs, caméras et appareils Linux embarqués [Rapport XLab principal]. Les CVE exploitées vont de failles IoT anciennes (CVE-2017-17215, CVE-2020-8515) à des vulnérabilités récemment divulguées (CVE-2025-9528, CVE-2025-28137, CVE-2025-34152, CVE-2025-55182), confirmant une maintenance active [Rapport XLab principal].

Pourquoi Dysphoria est bien plus difficile à démanteler

Trois choix de conception imbriqués brisent le manuel classique de démantèlement :

1. Résolution de noms basée sur la blockchain (ENS + SNS) – Les domaines C2 sont enregistrés sur des blockchains publiques, et non sur l'infrastructure DNS que les forces de l'ordre peuvent saisir. Les enregistrements TXT sont immuables une fois écrits, et l'opérateur peut simplement mettre à jour l'enregistrement sans toucher à aucun serveur [Rapport XLab principal].
2. Configurations chiffrées et protégées par algorithme – Les adresses C2 ne sont jamais stockées en texte clair. Elles sont enveloppées dans de fausses chaînes IPv6, chiffrées avec un chiffrement de type RC4 personnalisé, et ne peuvent être décodées qu'en exécutant l'algorithme exact de transformation d'octets codé en dur dans chaque échantillon [Rapport XLab principal].
3. Maillage de relais distribués à partir d'appareils infectés – Depuis fin juin, le botnet ne dépend plus d'un ensemble fixe de serveurs appartenant aux opérateurs. Les ordres d'attaque transitent par un réseau d'appareils compromis qui agissent comme des relais bidirectionnels pilotés par epoll avec mappage de port UPnP. Mettre hors service un seul relais ne fait que forcer les bots DDoS à interroger à nouveau la blockchain pour obtenir une nouvelle liste de relais [Rapport XLab principal].

Comme l'ont conclu XLab et le CNCERT, cette combinaison signifie que le démantèlement d'une seule adresse IP ou d'un seul domaine est inefficace, car la couche C2 est cryptographiquement cachée, les enregistrements de noms se trouvent sur une blockchain immuable, et le chemin de commande traverse des centaines de milliers de routeurs domestiques tournants et impossibles à démanteler [Rapport XLab principal].