작동 방식: 블록체인 이름 해석과 암호화된 C2

핵심 혁신은 명령 및 제어(C2) 인프라의 위치를 찾기 위해 이더리움 네임 서비스(ENS)와 솔라나 네임 서비스(SNS) 도메인을 사용한다는 점입니다. 압수할 수 있는 DNS 도메인을 등록하는 대신, 봇넷은 어떤 단일 주체도 통제할 수 없는 블록체인 TXT 레코드에 C2 정보를 저장합니다.

가짜 IPv6 문자열 미끼

C2 주소는 ENS/SNS TXT 레코드에 저장된 가짜 IPv6 주소(예: 2001:db8:12e7:13d7::1) 내부에 숨겨집니다. 악성코드는 문자열에서 4바이트 키만 추출하여 맞춤형 순열 함수 F()를 실행해 실제 IPv4 주소를 복구합니다[Primary XLab report].

맞춤형 바이트 변환 알고리즘

암호 해독은 두 번의 KSA(키 스케줄링 알고리즘) 라운드(표준 RC4와 LCG 기반 S-박스 셔플)를 가진 대폭 수정된 RC4 암호를 사용합니다. PRGA(의사 난수 생성 알고리즘) 단계에는 LFSR(선형 귀환 시프트 레지스터) 단계와 복잡한 비트 회전이 혼합됩니다. XLab은 연구자들을 위해 완전한 Python 재현 가능 알고리즘을 공개했습니다[Primary XLab report].

2단계 C2 해석

DDoS 샘플은 먼저 ENS/SNS 도메인(예: burrberry.eth)을 조회하여 릴레이 노드 IP 블록을 검색합니다. 그런 다음 GET /nodes?key=meowmeowmeow를 통해 해당 릴레이에 접속하여 최종 C2 주소 목록을 받습니다. 이 목록 자체가 다른 감염 기기들로 구성된 릴레이입니다[Primary XLab report].

2026년 3월부터 6월까지의 급속한 진화

봇넷은 불과 3개월 동안 빈번하게 문서화된 반복 업데이트를 거쳤습니다[Primary XLab report]:

전파 방식

Dysphoria는 주로 텔넷 및 SSH 자격 증명 무차별 대입을 통해 확산되지만, 라우터, 카메라 및 임베디드 Linux 기기를 대상으로 하는 최소 14개의 알려진 원격 코드 실행(RCE) 취약점도 악용합니다[Primary XLab report]. 악용된 CVE는 오래된 IoT 결함(CVE-2017-17215, CVE-2020-8515)부터 최근 공개된 취약점(CVE-2025-9528, CVE-2025-28137, CVE-2025-34152, CVE-2025-55182)까지 다양하며, 활발한 유지보수가 이루어지고 있음을 확인시켜 줍니다[Primary XLab report].

Dysphoria가 차단하기 훨씬 더 어려운 이유

세 가지 상호 연결된 설계 선택이 기존의 차단 전략을 무력화합니다:

1. 블록체인 기반 이름 해석(ENS + SNS) – C2 도메인은 수사기관이 압수할 수 있는 DNS 인프라가 아닌 공개 블록체인에 등록됩니다. TXT 레코드는 한 번 쓰면 변경이 불가능하며, 운영자는 서버에 접촉하지 않고도 레코드를 업데이트할 수 있습니다[Primary XLab report].
2. 암호화되고 알고리즘으로 보호된 설정 – C2 주소는 절대 평문으로 저장되지 않습니다. 가짜 IPv6 문자열에 래핑되고, 맞춤형 RC4 변종 암호로 암호화되며, 각 샘플에 하드코딩된 정확한 바이트 변환 알고리즘을 실행해야만 디코딩할 수 있습니다[Primary XLab report].
3. 감염 기기로 구성된 분산 릴레이 메시 – 6월 말 이후로 봇넷은 더 이상 운영자가 소유한 고정된 서버 세트에 의존하지 않습니다. 공격 명령은 UPnP 포트 매핑을 통해 양방향 epoll 기반 릴레이 역할을 하는 손상된 기기 네트워크를 통해 흐릅니다. 하나의 릴레이를 차단해도 DDoS 봇이 새로운 릴레이 목록을 위해 블록체인을 다시 조회하게 할 뿐입니다[Primary XLab report].

XLab과 CNCERT가 결론 내렸듯이, 이러한 조합은 C2 계층이 암호학적으로 숨겨져 있고, 이름 레코드는 변경 불가능한 블록체인에 있으며, 명령 경로가 수십만 개의 순환적이고 차단 불가능한 가정용 라우터를 통과하기 때문에 단일 IP 주소나 도메인을 차단하는 것은 효과가 없음을 의미합니다[Primary XLab report].

작동 방식: 블록체인 이름 해석과 암호화된 C2

핵심 혁신은 명령 및 제어(C2) 인프라의 위치를 찾기 위해 이더리움 네임 서비스(ENS)와 솔라나 네임 서비스(SNS) 도메인을 사용한다는 점입니다. 압수할 수 있는 DNS 도메인을 등록하는 대신, 봇넷은 어떤 단일 주체도 통제할 수 없는 블록체인 TXT 레코드에 C2 정보를 저장합니다.

가짜 IPv6 문자열 미끼

C2 주소는 ENS/SNS TXT 레코드에 저장된 가짜 IPv6 주소(예: 2001:db8:12e7:13d7::1) 내부에 숨겨집니다. 악성코드는 문자열에서 4바이트 키만 추출하여 맞춤형 순열 함수 F()를 실행해 실제 IPv4 주소를 복구합니다[Primary XLab report].

맞춤형 바이트 변환 알고리즘

암호 해독은 두 번의 KSA(키 스케줄링 알고리즘) 라운드(표준 RC4와 LCG 기반 S-박스 셔플)를 가진 대폭 수정된 RC4 암호를 사용합니다. PRGA(의사 난수 생성 알고리즘) 단계에는 LFSR(선형 귀환 시프트 레지스터) 단계와 복잡한 비트 회전이 혼합됩니다. XLab은 연구자들을 위해 완전한 Python 재현 가능 알고리즘을 공개했습니다[Primary XLab report].

2단계 C2 해석

DDoS 샘플은 먼저 ENS/SNS 도메인(예: burrberry.eth)을 조회하여 릴레이 노드 IP 블록을 검색합니다. 그런 다음 GET /nodes?key=meowmeowmeow를 통해 해당 릴레이에 접속하여 최종 C2 주소 목록을 받습니다. 이 목록 자체가 다른 감염 기기들로 구성된 릴레이입니다[Primary XLab report].

2026년 3월부터 6월까지의 급속한 진화

봇넷은 불과 3개월 동안 빈번하게 문서화된 반복 업데이트를 거쳤습니다[Primary XLab report]:

전파 방식

Dysphoria는 주로 텔넷 및 SSH 자격 증명 무차별 대입을 통해 확산되지만, 라우터, 카메라 및 임베디드 Linux 기기를 대상으로 하는 최소 14개의 알려진 원격 코드 실행(RCE) 취약점도 악용합니다[Primary XLab report]. 악용된 CVE는 오래된 IoT 결함(CVE-2017-17215, CVE-2020-8515)부터 최근 공개된 취약점(CVE-2025-9528, CVE-2025-28137, CVE-2025-34152, CVE-2025-55182)까지 다양하며, 활발한 유지보수가 이루어지고 있음을 확인시켜 줍니다[Primary XLab report].

Dysphoria가 차단하기 훨씬 더 어려운 이유

세 가지 상호 연결된 설계 선택이 기존의 차단 전략을 무력화합니다:

1. 블록체인 기반 이름 해석(ENS + SNS) – C2 도메인은 수사기관이 압수할 수 있는 DNS 인프라가 아닌 공개 블록체인에 등록됩니다. TXT 레코드는 한 번 쓰면 변경이 불가능하며, 운영자는 서버에 접촉하지 않고도 레코드를 업데이트할 수 있습니다[Primary XLab report].
2. 암호화되고 알고리즘으로 보호된 설정 – C2 주소는 절대 평문으로 저장되지 않습니다. 가짜 IPv6 문자열에 래핑되고, 맞춤형 RC4 변종 암호로 암호화되며, 각 샘플에 하드코딩된 정확한 바이트 변환 알고리즘을 실행해야만 디코딩할 수 있습니다[Primary XLab report].
3. 감염 기기로 구성된 분산 릴레이 메시 – 6월 말 이후로 봇넷은 더 이상 운영자가 소유한 고정된 서버 세트에 의존하지 않습니다. 공격 명령은 UPnP 포트 매핑을 통해 양방향 epoll 기반 릴레이 역할을 하는 손상된 기기 네트워크를 통해 흐릅니다. 하나의 릴레이를 차단해도 DDoS 봇이 새로운 릴레이 목록을 위해 블록체인을 다시 조회하게 할 뿐입니다[Primary XLab report].

XLab과 CNCERT가 결론 내렸듯이, 이러한 조합은 C2 계층이 암호학적으로 숨겨져 있고, 이름 레코드는 변경 불가능한 블록체인에 있으며, 명령 경로가 수십만 개의 순환적이고 차단 불가능한 가정용 라우터를 통과하기 때문에 단일 IP 주소나 도메인을 차단하는 것은 효과가 없음을 의미합니다[Primary XLab report].