Botnet IoT Dysphoria: 200.000 Perangkat Terinfeksi, Sulit Dilumpuhkan Berkat Blockchain

Cara Kerjanya: Resolusi Nama via Blockchain dan C2 Terenkripsi

Inovasi intinya adalah penggunaan domain Ethereum Name Service (ENS) dan Solana Name Service (SNS) untuk menemukan infrastruktur komando dan kontrol (C2). Alih-alih mendaftarkan domain DNS yang bisa disita, botnet menyimpan informasi C2 dalam catatan TXT blockchain yang tidak bisa dikendalikan oleh satu entitas pun .

Umpan Alamat IPv6 Palsu

Alamat C2 disisipkan di dalam alamat IPv6 palsu—misalnya, 2001:db8:12e7:13d7::1—yang disimpan di catatan TXT ENS/SNS. Malware hanya mengekstrak kunci 4-byte dari string tersebut dan menjalankannya melalui fungsi permutasi kustom F() untuk memulihkan alamat IPv4 yang sebenarnya [Laporan utama XLab].

Algoritma Transformasi Byte Kustom

Dekripsi menggunakan cipher RC4 yang dimodifikasi secara ekstensif dengan dua putaran Key Scheduling Algorithm (KSA): RC4 standar ditambah pengocokan S-box berbasis LCG. Tahap Pseudo-Random Generation Algorithm (PRGA) mencampurkan langkah Linear Feedback Shift Register (LFSR) dan rotasi bit yang kompleks. XLab telah menerbitkan algoritma lengkap yang dapat direproduksi dengan Python untuk para peneliti [Laporan utama XLab].

Resolusi C2 Dua Tahap

Sampel DDoS pertama-tama melakukan query ke domain ENS/SNS (misalnya, burrberry.eth) untuk mengambil blok IP node relai. Kemudian, ia menghubungi relai tersebut melalui GET /nodes?key=meowmeowmeow untuk menerima daftar alamat C2 final—yang ternyata juga merupakan perangkat terinfeksi lain yang bertindak sebagai relai [Laporan utama XLab].

Evolusi Cepat dari Maret hingga Juni 2026

Botnet ini mengalami iterasi yang sering dan terdokumentasi hanya dalam waktu tiga bulan [Laporan utama XLab]:

Metode Penyebaran

Dysphoria menyebar terutama melalui brute-force kredensial Telnet dan SSH, tetapi juga mengeksploitasi setidaknya 14 kerentanan remote-code-execution (RCE) yang diketahui yang menargetkan router, kamera, dan perangkat Linux tertanam [Laporan utama XLab]. CVE yang dieksploitasi berkisar dari celah IoT lama (CVE-2017-17215, CVE-2020-8515) hingga kerentanan yang baru diungkapkan (CVE-2025-9528, CVE-2025-28137, CVE-2025-34152, CVE-2025-55182), mengonfirmasi pemeliharaan aktif [Laporan utama XLab].

Mengapa Dysphoria Jauh Lebih Sulit Dilumpuhkan

Tiga pilihan desain yang saling terkait mematahkan buku pegangan takedown klasik:

1. Resolusi nama berbasis blockchain (ENS + SNS) – Domain C2 terdaftar di blockchain publik, bukan di infrastruktur DNS yang bisa disita penegak hukum. Catatan TXT bersifat immutable setelah ditulis, dan operator cukup memperbarui catatan tanpa menyentuh server mana pun [Laporan utama XLab].
2. Konfigurasi terenkripsi yang dilindungi algoritma – Alamat C2 tidak pernah disimpan dalam bentuk teks biasa. Mereka dibungkus dalam string IPv6 palsu, dienkripsi dengan cipher varian RC4 kustom, dan hanya bisa didekode dengan menjalankan algoritma transformasi byte yang tepat yang sudah di-hardcode di setiap sampel [Laporan utama XLab].
3. Jaringan relai terdistribusi dari perangkat terinfeksi – Sejak akhir Juni, botnet tidak lagi bergantung pada kumpulan server milik operator yang tetap. Perintah serangan mengalir melalui jaringan perangkat yang disusupi yang bertindak sebagai relai bidirectional berbasis epoll dengan pemetaan port UPnP. Mematikan satu relai hanya akan menyebabkan bot DDoS melakukan query ke blockchain lagi untuk mendapatkan daftar relai baru [Laporan utama XLab].

Seperti yang disimpulkan XLab dan CNCERT, kombinasi ini berarti mematikan satu alamat IP atau domain saja tidak efektif karena lapisan C2 disembunyikan secara kriptografis, catatan nama berada di blockchain yang immutable, dan jalur perintah melewati ratusan ribu router rumahan yang berputar dan tidak bisa ditakedown [Laporan utama XLab].