Dysphoria Botnet: ब्लॉकचेन तकनीक का इस्तेमाल कर 2 लाख IoT डिवाइसों को बनाया बंधक

यह कैसे काम करता है: ब्लॉकचेन नेम रिज़ॉल्यूशन और एन्क्रिप्टेड C2

इस बॉटनेट का मुख्य नवाचार कमांड-एंड-कंट्रोल इंफ्रास्ट्रक्चर का पता लगाने के लिए Ethereum Name Service (ENS) और Solana Name Service (SNS) डोमेन का उपयोग करना है। यह एक ऐसे DNS डोमेन को रजिस्टर करने के बजाय जिसे जब्त किया जा सकता है, बॉटनेट C2 जानकारी को ब्लॉकचेन TXT रिकॉर्ड में स्टोर करता है, जिसे कोई एक संस्था नियंत्रित नहीं कर सकती ।

नकली IPv6 स्ट्रिंग डिकॉय

C2 पतों को नकली IPv6 पतों के अंदर छिपाया जाता है—उदाहरण के लिए, 2001:db8:12e7:13d7::1—जो ENS/SNS TXT रिकॉर्ड में संग्रहीत होते हैं। मैलवेयर स्ट्रिंग से केवल 4-बाइट की कुंजी निकालता है और वास्तविक IPv4 पते को पुनर्प्राप्त करने के लिए इसे एक कस्टम परम्यूटेशन फ़ंक्शन F() से गुज़ारता है [Primary XLab report]।

कस्टम बाइट-ट्रांसफ़ॉर्मेशन एल्गोरिदम

डिक्रिप्शन के लिए एक भारी संशोधित RC4 सिफर का उपयोग किया जाता है, जिसमें दो KSA राउंड होते हैं: मानक RC4 और एक LCG-आधारित S-बॉक्स शफ़ल। PRGA चरण में LFSR स्टेप और जटिल बिट-रोटेशन को मिलाया जाता है। XLab ने शोधकर्ताओं के लिए एक पूर्ण पायथन-प्रतिलिपि एल्गोरिदम प्रकाशित किया है [Primary XLab report]।

दो-चरणीय C2 रिज़ॉल्यूशन

DDoS सैंपल पहले रिले-नोड IPs के एक ब्लॉक को प्राप्त करने के लिए ENS/SNS डोमेन (जैसे, burrberry.eth) से क्वेरी करता है। फिर यह अंतिम C2 एड्रेस लिस्ट प्राप्त करने के लिए GET /nodes?key=meowmeowmeow के ज़रिए उन रिले से संपर्क करता है—जो खुद अन्य संक्रमित डिवाइसों से बनी होती है [Primary XLab report]।

मार्च से जून 2026 तक तेज़ी से विकास

बॉटनेट में मात्र तीन महीनों में बार-बार दस्तावेजीकृत बदलाव हुए [Primary XLab report]:

प्रसार के तरीके

Dysphoria मुख्य रूप से Telnet और SSH क्रेडेंशियल ब्रूट-फ़ोर्सिंग के माध्यम से फैलता है, लेकिन यह राउटर, कैमरे और एम्बेडेड लिनक्स डिवाइसों को लक्षित करने वाली कम से कम 14 ज्ञात रिमोट-कोड-एक्ज़ीक्यूशन (RCE) कमजोरियों का भी शोषण करता है [Primary XLab report]। शोषित CVEs में लंबे समय से चली आ रही IoT खामियां (CVE-2017-17215, CVE-2020-8515) और हाल ही में खोजी गई कमजोरियां (CVE-2025-9528, CVE-2025-28137, CVE-2025-34152, CVE-2025-55182) शामिल हैं, जो सक्रिय रखरखाव की पुष्टि करती हैं [Primary XLab report]।

Dysphoria को बाधित करना इतना मुश्किल क्यों है?

तीन इंटरलॉकिंग डिज़ाइन विकल्प क्लासिक टेकडाउन प्लेबुक को तोड़ते हैं:

1. ब्लॉकचेन-आधारित नेम रिज़ॉल्यूशन (ENS + SNS) – C2 डोमेन सार्वजनिक ब्लॉकचेन पर रजिस्टर होते हैं, DNS इंफ्रास्ट्रक्चर पर नहीं जिसे कानून प्रवर्तन जब्त कर सकता है। TXT रिकॉर्ड एक बार लिखे जाने के बाद अपरिवर्तनीय होते हैं, और ऑपरेटर बिना किसी सर्वर को छुए रिकॉर्ड को अपडेट कर सकता है [Primary XLab report]।
2. एन्क्रिप्टेड, एल्गोरिदम-संरक्षित कॉन्फ़िगरेशन – C2 पते कभी भी प्लेनटेक्स्ट में स्टोर नहीं होते। वे नकली IPv6 स्ट्रिंग्स में लिपटे होते हैं, एक कस्टम RC4-वैरिएंट सिफर से एन्क्रिप्टेड होते हैं, और केवल प्रत्येक सैंपल में हार्ड-कोडेड सटीक बाइट-ट्रांसफ़ॉर्मेशन एल्गोरिदम चलाकर ही डिकोड किए जा सकते हैं [Primary XLab report]।
3. संक्रमित डिवाइसों से वितरित रिले मेश – जून के अंत से, बॉटनेट अब ऑपरेटर के स्वामित्व वाले सर्वरों के एक निश्चित सेट पर निर्भर नहीं करता है। हमले के आदेश समझौता किए गए डिवाइसों के एक नेटवर्क के माध्यम से प्रवाहित होते हैं जो UPnP पोर्ट मैपिंग के साथ द्विदिश, epoll-संचालित रिले के रूप में कार्य करते हैं। एक रिले को बंद करने से DDoS बॉट ताज़ा रिले लिस्ट के लिए फिर से ब्लॉकचेन से क्वेरी करते हैं [Primary XLab report]।

जैसा कि XLab और CNCERT ने निष्कर्ष निकाला, इस संयोजन का मतलब है कि किसी एक IP पते या डोमेन को बंद करना अप्रभावी है क्योंकि C2 लेयर क्रिप्टोग्राफिक रूप से छिपा हुआ है, नेम रिकॉर्ड एक अपरिवर्तनीय ब्लॉकचेन पर हैं, और कमांड पथ सैकड़ों हजारों घूमने वाले, अटूट होम राउटरों के माध्यम से चलता है [Primary XLab report]।