Dysphoria: come la blockchain rende quasi impossibile fermare un botnet IoT da 200.000 dispositivi

La sua comparsa è collegata alla disruption dell'infrastruttura di JackSkid durante un'operazione internazionale di polizia nel marzo 2026. Invece di ricostruire semplicemente i vecchi server, gli operatori hanno modificato il modello di comando e controllo per ridurre la dipendenza da infrastrutture che possono essere sequestrate .

ENS e SNS al posto del DNS tradizionale

Il cuore dell'architettura è l'uso di Ethereum Name Service (ENS) e Solana Name Service (SNS). Questi sistemi associano nomi leggibili a informazioni registrate su blockchain. Per il botnet, i record TXT contengono i dati necessari a individuare i nodi di comando e i relay .

La differenza rispetto al DNS è soprattutto operativa: non esiste un singolo registrar o provider di hosting dal quale confiscare l'intera infrastruttura. I dati già scritti sulla blockchain non si rimuovono con la stessa procedura usata per un dominio convenzionale; gli operatori possono inoltre aggiornare i record per indirizzare i dispositivi verso nuovi relay .

Finti indirizzi IPv6 e cifratura personalizzata

Gli indirizzi del server di comando non vengono memorizzati in chiaro. Sono inseriti in stringhe che sembrano indirizzi IPv6, per esempio 2001:db8:12e7:13d7::1, pubblicate nei record ENS o SNS. Il malware estrae dalla stringa una chiave di quattro byte e la elabora con una funzione di permutazione personalizzata per ricavare il vero indirizzo IPv4 .

La decodifica impiega una versione pesantemente modificata di RC4: il processo include due fasi di Key Scheduling Algorithm, una seconda mescolatura della S-box basata su un generatore congruenziale lineare e una fase PRGA che aggiunge un registro a scorrimento con feedback lineare e rotazioni di bit. XLab ha pubblicato anche un'implementazione Python riproducibile per i ricercatori .

Una risoluzione del C2 in due passaggi

Il campione destinato agli attacchi DDoS non contatta direttamente un server fisso. Prima interroga un dominio ENS o SNS, come burrberry.eth, per ottenere un elenco di indirizzi IP associati ai relay. In seguito contatta questi nodi con una richiesta del tipo GET /nodes?key=meowmeowmeow e riceve l'elenco finale dei server di comando.

Anche quell'elenco è composto da dispositivi infetti che funzionano da relay o proxy. La blockchain fornisce quindi il punto di partenza, mentre la comunicazione successiva passa attraverso una rete di macchine compromesse .

L'evoluzione documentata tra marzo e giugno 2026

Gli aggiornamenti osservati da XLab mostrano una campagna mantenuta attivamente e modificata in tempi molto brevi :

La variante solo-relay è particolarmente rilevante perché trasforma una parte delle vittime in infrastruttura di supporto. Un dispositivo compromesso non deve necessariamente lanciare un attacco: può limitarsi a inoltrare traffico e comandi per proteggere i nodi più importanti della rete .

Come si diffonde Dysphoria

Il metodo principale resta il brute forcing delle credenziali Telnet e SSH, soprattutto quando router, telecamere o altri dispositivi connessi utilizzano password deboli o predefinite. Il botnet sfrutta inoltre almeno 14 vulnerabilità di esecuzione di codice da remoto (RCE) in router, telecamere e sistemi Linux embedded .

Tra le falle indicate dai ricercatori figurano vulnerabilità IoT ormai note, come CVE-2017-17215 e CVE-2020-8515, insieme a problemi divulgati più di recente, tra cui CVE-2025-9528, CVE-2025-28137, CVE-2025-34152 e CVE-2025-55182. L'inclusione di vulnerabilità appartenenti a periodi diversi suggerisce un'attività continua di aggiornamento degli strumenti di infezione .

Perché è più difficile da interrompere

La resilienza di Dysphoria non dipende da una singola tecnica, ma dalla combinazione di tre livelli:

1. Naming su blockchain. I nomi ENS e SNS non dipendono dall'infrastruttura DNS tradizionale, che può essere sequestrata o disattivata con un intervento mirato .
2. Configurazioni cifrate. Gli indirizzi C2 non sono presenti in chiaro: vengono camuffati da stringhe IPv6 e protetti da un algoritmo che il campione deve eseguire per recuperarli .
3. Relay distribuiti. I comandi attraversano dispositivi compromessi che operano come proxy bidirezionali. Con il port mapping UPnP, alcuni nodi possono inoltre diventare raggiungibili dall'esterno. Se un relay viene bloccato, i bot possono interrogare nuovamente la blockchain e ottenere un elenco aggiornato .

Questo rompe il tradizionale modello del takedown. Spegnere un singolo indirizzo IP non elimina la rete; bloccare un dominio non cancella necessariamente i dati già registrati sulla blockchain; individuare un server di comando non basta quando il traffico viene rimbalzato attraverso migliaia di dispositivi domestici e apparati embedded.

Per difensori e operatori di rete, il caso Dysphoria conferma quindi un cambiamento importante: i botnet IoT non devono più proteggere soltanto i propri server. Possono distribuire il controllo tra registri blockchain e macchine delle vittime, rendendo molto più costoso e complesso ricostruire l'intera catena di comando .