Le botnet IoT Dysphoria : 200 000 appareils infectés par un C2 basé sur la blockchain quasi impossible à démanteler
Dysphoria est un botnet IoT qui a infecté environ 200 000 appareils dans le monde, en utilisant les registres blockchain d'Ethereum Name Service (ENS) et Solana Name Service (SNS) pour résoudre son infrastructure de c... Le botnet est apparu directement après une opération policière multinationale en mars 2026 qui a...
Publié parModifié avec DeepSeek-V4-FlashImages générées avec GPT Image 1.5
Dysphoria est un botnet IoT qui a infecté environ 200 000 appareils dans le monde, en utilisant les registres blockchain d'Ethereum Name Service (ENS) et Solana Name Service (SNS) pour résoudre son infrastructure de c...
Le botnet est apparu directement après une opération policière multinationale en mars 2026 qui a démantelé le botnet JackSkid, poussant ses opérateurs à reconcevoir entièrement leur architecture C2 pour la rendre bien...
Ses techniques incluent de fausses adresses IPv6 pour cacher les adresses C2, un chiffrement RC4 personnalisé à double tour KSA, et un maillage de relais distribués où les appareils infectés agissent comme des proxys...
What is the Dysphoria IoT botnet, which has infected approximately 200,000 devices worldwide by using Ethereum Name Service and Solana NameConceptual visualization of the Dysphoria botnet's blockchain-based command-and-control network.
Prompt IA
Create a landscape editorial hero image for this Studio Global article: What is the Dysphoria IoT botnet, which has infected approximately 200,000 devices worldwide by using Ethereum Name Service and Solana Name. Article summary: **Dysphoria** is an IoT botnet that has infected an estimated 200,000 devices worldwide by replacing traditional command-and-control (C2) infrastructure with blockchain-based domain queries—Ethereum Name Service (ENS) an. Topic tags: general. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnai
openai.com
Le botnet qui a appris à se cacher sur la blockchain
Dysphoria marque un tournant dans la conception des botnets IoT. Alors que des botnets plus anciens comme Mirai reposaient sur des serveurs centralisés et des requêtes DNS classiques que les forces de l'ordre pouvaient saisir, Dysphoria est le premier botnet majeur à remplacer toute cette infrastructure par des services de nom basés sur la blockchain, un système de dissimulation cryptographique sur mesure, et un réseau de relais auto-entretenu construit à partir de ses propres victimes .
Comme l'ont documenté les chercheurs de QiAnXin XLab et du CNCERT, Dysphoria a émergé directement après une opération policière multinationale en mars 2026 qui a démantelé le botnet JackSkid . Plutôt que de simplement reconstruire ce qui avait été perdu, les opérateurs ont conçu une architecture fondamentalement plus difficile à perturber.
Studio Global AI
Continuez vos recherches
Cette page comprend une réponse basée sur la source que vous pouvez continuer dans Studio Global.
Quelle est la réponse courte à « Le botnet IoT Dysphoria : 200 000 appareils infectés par un C2 basé sur la blockchain quasi impossible à démanteler » ?
Dysphoria est un botnet IoT qui a infecté environ 200 000 appareils dans le monde, en utilisant les registres blockchain d'Ethereum Name Service (ENS) et Solana Name Service (SNS) pour résoudre son infrastructure de c...
Quels sont les points clés à valider en premier ?
Dysphoria est un botnet IoT qui a infecté environ 200 000 appareils dans le monde, en utilisant les registres blockchain d'Ethereum Name Service (ENS) et Solana Name Service (SNS) pour résoudre son infrastructure de c... Le botnet est apparu directement après une opération policière multinationale en mars 2026 qui a démantelé le botnet JackSkid, poussant ses opérateurs à reconcevoir entièrement leur architecture C2 pour la rendre bien...
Que dois-je faire ensuite en pratique ?
Ses techniques incluent de fausses adresses IPv6 pour cacher les adresses C2, un chiffrement RC4 personnalisé à double tour KSA, et un maillage de relais distribués où les appareils infectés agissent comme des proxys...
Le botnet IoT Dysphoria : 200 000 appareils infectés par un C2 basé sur la blockchain quasi impossible à démanteler
Dysphoria est un botnet IoT qui a infecté environ 200 000 appareils dans le monde, en utilisant les registres blockchain d'Ethereum Name Service (ENS) et Solana Name Service (SNS) pour résoudre son infrastructure de c... Le botnet est apparu directement après une opération policière multinationale en mars 2026 qui a...
Publié parModifié avec DeepSeek-V4-FlashImages générées avec GPT Image 1.5
Dysphoria est un botnet IoT qui a infecté environ 200 000 appareils dans le monde, en utilisant les registres blockchain d'Ethereum Name Service (ENS) et Solana Name Service (SNS) pour résoudre son infrastructure de c...
Le botnet est apparu directement après une opération policière multinationale en mars 2026 qui a démantelé le botnet JackSkid, poussant ses opérateurs à reconcevoir entièrement leur architecture C2 pour la rendre bien...
Ses techniques incluent de fausses adresses IPv6 pour cacher les adresses C2, un chiffrement RC4 personnalisé à double tour KSA, et un maillage de relais distribués où les appareils infectés agissent comme des proxys...
What is the Dysphoria IoT botnet, which has infected approximately 200,000 devices worldwide by using Ethereum Name Service and Solana NameConceptual visualization of the Dysphoria botnet's blockchain-based command-and-control network.
Prompt IA
Create a landscape editorial hero image for this Studio Global article: What is the Dysphoria IoT botnet, which has infected approximately 200,000 devices worldwide by using Ethereum Name Service and Solana Name. Article summary: **Dysphoria** is an IoT botnet that has infected an estimated 200,000 devices worldwide by replacing traditional command-and-control (C2) infrastructure with blockchain-based domain queries—Ethereum Name Service (ENS) an. Topic tags: general. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnai
openai.com
Le botnet qui a appris à se cacher sur la blockchain
Dysphoria marque un tournant dans la conception des botnets IoT. Alors que des botnets plus anciens comme Mirai reposaient sur des serveurs centralisés et des requêtes DNS classiques que les forces de l'ordre pouvaient saisir, Dysphoria est le premier botnet majeur à remplacer toute cette infrastructure par des services de nom basés sur la blockchain, un système de dissimulation cryptographique sur mesure, et un réseau de relais auto-entretenu construit à partir de ses propres victimes .
Comme l'ont documenté les chercheurs de QiAnXin XLab et du CNCERT, Dysphoria a émergé directement après une opération policière multinationale en mars 2026 qui a démantelé le botnet JackSkid . Plutôt que de simplement reconstruire ce qui avait été perdu, les opérateurs ont conçu une architecture fondamentalement plus difficile à perturber.
Studio Global AI
Continuez vos recherches
Cette page comprend une réponse basée sur la source que vous pouvez continuer dans Studio Global.
Quelle est la réponse courte à « Le botnet IoT Dysphoria : 200 000 appareils infectés par un C2 basé sur la blockchain quasi impossible à démanteler » ?
Dysphoria est un botnet IoT qui a infecté environ 200 000 appareils dans le monde, en utilisant les registres blockchain d'Ethereum Name Service (ENS) et Solana Name Service (SNS) pour résoudre son infrastructure de c...
Quels sont les points clés à valider en premier ?
Dysphoria est un botnet IoT qui a infecté environ 200 000 appareils dans le monde, en utilisant les registres blockchain d'Ethereum Name Service (ENS) et Solana Name Service (SNS) pour résoudre son infrastructure de c... Le botnet est apparu directement après une opération policière multinationale en mars 2026 qui a démantelé le botnet JackSkid, poussant ses opérateurs à reconcevoir entièrement leur architecture C2 pour la rendre bien...
Que dois-je faire ensuite en pratique ?
Ses techniques incluent de fausses adresses IPv6 pour cacher les adresses C2, un chiffrement RC4 personnalisé à double tour KSA, et un maillage de relais distribués où les appareils infectés agissent comme des proxys...
Comment ça marche : résolution de noms via blockchain et C2 chiffré
L'innovation centrale est l'utilisation des domaines Ethereum Name Service (ENS) et Solana Name Service (SNS) pour localiser l'infrastructure de commande et de contrôle. Au lieu d'enregistrer un nom de domaine DNS qui peut être saisi, le botnet stocke les informations C2 dans des enregistrements TXT de la blockchain, qu'aucune entité unique ne contrôle .
Leurre par fausse adresse IPv6
Les adresses C2 sont encapsulées dans de fausses adresses IPv6, par exemple 2001:db8:12e7:13d7::1, stockées dans des enregistrements TXT ENS/SNS. Le malware n'extrait qu'une clé de 4 octets de la chaîne et la traite via une fonction de permutation personnalisée F() pour récupérer la véritable adresse IPv4 [Rapport XLab principal].
Algorithme de transformation d'octets personnalisé
Le déchiffrement utilise un chiffrement RC4 lourdement modifié avec deux cycles d'algorithme de planification de clés (KSA) : un RC4 standard plus un brassage de la S-box basé sur un LCG. L'étape de génération de nombres pseudo-aléatoires (PRGA) intègre une étape de registre à décalage à rétroaction linéaire (LFSR) et des rotations de bits complexes. XLab a publié un algorithme reproductible en Python pour les chercheurs [Rapport XLab principal].
Résolution C2 en deux étapes
L'échantillon DDoS interroge d'abord un domaine ENS/SNS (par exemple, burrberry.eth) pour récupérer un bloc d'adresses IP de nœuds relais. Il contacte ensuite ces relais via GET /nodes?key=meowmeowmeow pour recevoir la liste finale des adresses C2, qui est elle-même composée d'autres appareils infectés agissant comme relais [Rapport XLab principal].
Évolution rapide de mars à juin 2026
Le botnet a subi des itérations fréquentes et documentées en seulement trois mois [Rapport XLab principal] :
Date
Développement
25 mars
Première variante JackSkid capturée ; utilisation du domaine ENS m3rnbvs5d.eth
1er avril
Apparition de la variante fbot (affichant "hail china mainland")
29-30 avril
Nouveau chiffrement RC4 et domaine ENS ukranianhorseriding.eth
Début mai
Ajout du domaine SNS 24carnforth2merseyside.sol (C2 multi-chaîne)
25 juin
Apparition d'une variante purement relais qui a supprimé toutes les capacités DDoS et ne sert plus que de nœud proxy
27-28 juin
Ajout du transfert de port automatisé UPnP ; architecture hybride finalisée
Méthodes de propagation
Dysphoria se propage principalement par forçage brutal des identifiants Telnet et SSH, mais il exploite également au moins 14 vulnérabilités connues d'exécution de code à distance (RCE) ciblant les routeurs, caméras et appareils Linux embarqués [Rapport XLab principal]. Les CVE exploitées vont de failles IoT anciennes (CVE-2017-17215, CVE-2020-8515) à des vulnérabilités récemment divulguées (CVE-2025-9528, CVE-2025-28137, CVE-2025-34152, CVE-2025-55182), confirmant une maintenance active [Rapport XLab principal].
Pourquoi Dysphoria est bien plus difficile à démanteler
Trois choix de conception imbriqués brisent le manuel classique de démantèlement :
Résolution de noms basée sur la blockchain (ENS + SNS) – Les domaines C2 sont enregistrés sur des blockchains publiques, et non sur l'infrastructure DNS que les forces de l'ordre peuvent saisir. Les enregistrements TXT sont immuables une fois écrits, et l'opérateur peut simplement mettre à jour l'enregistrement sans toucher à aucun serveur [Rapport XLab principal].
Configurations chiffrées et protégées par algorithme – Les adresses C2 ne sont jamais stockées en texte clair. Elles sont enveloppées dans de fausses chaînes IPv6, chiffrées avec un chiffrement de type RC4 personnalisé, et ne peuvent être décodées qu'en exécutant l'algorithme exact de transformation d'octets codé en dur dans chaque échantillon [Rapport XLab principal].
Maillage de relais distribués à partir d'appareils infectés – Depuis fin juin, le botnet ne dépend plus d'un ensemble fixe de serveurs appartenant aux opérateurs. Les ordres d'attaque transitent par un réseau d'appareils compromis qui agissent comme des relais bidirectionnels pilotés par epoll avec mappage de port UPnP. Mettre hors service un seul relais ne fait que forcer les bots DDoS à interroger à nouveau la blockchain pour obtenir une nouvelle liste de relais [Rapport XLab principal].
Comme l'ont conclu XLab et le CNCERT, cette combinaison signifie que le démantèlement d'une seule adresse IP ou d'un seul domaine est inefficace, car la couche C2 est cryptographiquement cachée, les enregistrements de noms se trouvent sur une blockchain immuable, et le chemin de commande traverse des centaines de milliers de routeurs domestiques tournants et impossibles à démanteler [Rapport XLab principal].
secnews.gr
Dysphoria Botnet: ENS/SNS C2 and Relay/proxy Victim ...
Comment ça marche : résolution de noms via blockchain et C2 chiffré
L'innovation centrale est l'utilisation des domaines Ethereum Name Service (ENS) et Solana Name Service (SNS) pour localiser l'infrastructure de commande et de contrôle. Au lieu d'enregistrer un nom de domaine DNS qui peut être saisi, le botnet stocke les informations C2 dans des enregistrements TXT de la blockchain, qu'aucune entité unique ne contrôle .
Leurre par fausse adresse IPv6
Les adresses C2 sont encapsulées dans de fausses adresses IPv6, par exemple 2001:db8:12e7:13d7::1, stockées dans des enregistrements TXT ENS/SNS. Le malware n'extrait qu'une clé de 4 octets de la chaîne et la traite via une fonction de permutation personnalisée F() pour récupérer la véritable adresse IPv4 [Rapport XLab principal].
Algorithme de transformation d'octets personnalisé
Le déchiffrement utilise un chiffrement RC4 lourdement modifié avec deux cycles d'algorithme de planification de clés (KSA) : un RC4 standard plus un brassage de la S-box basé sur un LCG. L'étape de génération de nombres pseudo-aléatoires (PRGA) intègre une étape de registre à décalage à rétroaction linéaire (LFSR) et des rotations de bits complexes. XLab a publié un algorithme reproductible en Python pour les chercheurs [Rapport XLab principal].
Résolution C2 en deux étapes
L'échantillon DDoS interroge d'abord un domaine ENS/SNS (par exemple, burrberry.eth) pour récupérer un bloc d'adresses IP de nœuds relais. Il contacte ensuite ces relais via GET /nodes?key=meowmeowmeow pour recevoir la liste finale des adresses C2, qui est elle-même composée d'autres appareils infectés agissant comme relais [Rapport XLab principal].
Évolution rapide de mars à juin 2026
Le botnet a subi des itérations fréquentes et documentées en seulement trois mois [Rapport XLab principal] :
Date
Développement
25 mars
Première variante JackSkid capturée ; utilisation du domaine ENS m3rnbvs5d.eth
1er avril
Apparition de la variante fbot (affichant "hail china mainland")
29-30 avril
Nouveau chiffrement RC4 et domaine ENS ukranianhorseriding.eth
Début mai
Ajout du domaine SNS 24carnforth2merseyside.sol (C2 multi-chaîne)
25 juin
Apparition d'une variante purement relais qui a supprimé toutes les capacités DDoS et ne sert plus que de nœud proxy
27-28 juin
Ajout du transfert de port automatisé UPnP ; architecture hybride finalisée
Méthodes de propagation
Dysphoria se propage principalement par forçage brutal des identifiants Telnet et SSH, mais il exploite également au moins 14 vulnérabilités connues d'exécution de code à distance (RCE) ciblant les routeurs, caméras et appareils Linux embarqués [Rapport XLab principal]. Les CVE exploitées vont de failles IoT anciennes (CVE-2017-17215, CVE-2020-8515) à des vulnérabilités récemment divulguées (CVE-2025-9528, CVE-2025-28137, CVE-2025-34152, CVE-2025-55182), confirmant une maintenance active [Rapport XLab principal].
Pourquoi Dysphoria est bien plus difficile à démanteler
Trois choix de conception imbriqués brisent le manuel classique de démantèlement :
Résolution de noms basée sur la blockchain (ENS + SNS) – Les domaines C2 sont enregistrés sur des blockchains publiques, et non sur l'infrastructure DNS que les forces de l'ordre peuvent saisir. Les enregistrements TXT sont immuables une fois écrits, et l'opérateur peut simplement mettre à jour l'enregistrement sans toucher à aucun serveur [Rapport XLab principal].
Configurations chiffrées et protégées par algorithme – Les adresses C2 ne sont jamais stockées en texte clair. Elles sont enveloppées dans de fausses chaînes IPv6, chiffrées avec un chiffrement de type RC4 personnalisé, et ne peuvent être décodées qu'en exécutant l'algorithme exact de transformation d'octets codé en dur dans chaque échantillon [Rapport XLab principal].
Maillage de relais distribués à partir d'appareils infectés – Depuis fin juin, le botnet ne dépend plus d'un ensemble fixe de serveurs appartenant aux opérateurs. Les ordres d'attaque transitent par un réseau d'appareils compromis qui agissent comme des relais bidirectionnels pilotés par epoll avec mappage de port UPnP. Mettre hors service un seul relais ne fait que forcer les bots DDoS à interroger à nouveau la blockchain pour obtenir une nouvelle liste de relais [Rapport XLab principal].
Comme l'ont conclu XLab et le CNCERT, cette combinaison signifie que le démantèlement d'une seule adresse IP ou d'un seul domaine est inefficace, car la couche C2 est cryptographiquement cachée, les enregistrements de noms se trouvent sur une blockchain immuable, et le chemin de commande traverse des centaines de milliers de routeurs domestiques tournants et impossibles à démanteler [Rapport XLab principal].
secnews.gr
Dysphoria Botnet: ENS/SNS C2 and Relay/proxy Victim ...
