Botnet Dysphoria bersembunyi di sebalik blockchain, menghubungkan 200,000 peranti terjangkit

Bagaimana Dysphoria mendapatkan arahan

ENS dan SNS menggantikan DNS biasa

Teras reka bentuk baharu Dysphoria ialah penggunaan Ethereum Name Service (ENS) dan Solana Name Service (SNS) untuk mencari infrastruktur C2. Berbanding domain DNS tradisional yang bergantung pada pendaftar atau penyedia pengehosan tertentu, maklumat C2 disimpan dalam rekod TXT pada blockchain yang tidak dikawal oleh satu pihak sahaja .

Ini tidak menjadikan botnet mustahil untuk ditumpaskan, tetapi ia mematahkan pendekatan biasa yang hanya menyasarkan satu domain atau pelayan. Pengendali boleh mengubah maklumat dalam rekod tersebut tanpa perlu mengekalkan pelayan yang sama.

Alamat IPv6 palsu menyembunyikan alamat sebenar

Alamat C2 disamarkan sebagai rentetan IPv6 palsu, contohnya 2001:db8:12e7:13d7::1, dan disimpan dalam rekod TXT ENS atau SNS. Malware tidak menggunakan rentetan itu sebagai alamat IPv6 sebenar. Sebaliknya, ia mengambil kunci empat bait yang tersembunyi di dalam rentetan tersebut dan memprosesnya melalui fungsi permutasi tersuai F() untuk mendapatkan alamat IPv4 sebenar .

Variasi RC4 dan transformasi bait tersuai

Proses penyahsulitan menggunakan versi RC4 yang telah diubah suai dengan dua pusingan Key Scheduling Algorithm (KSA): RC4 standard diikuti rombakan S-box berasaskan penjana kongruen linear (LCG). Pada peringkat Pseudo-Random Generation Algorithm (PRGA), malware turut memasukkan langkah Linear Feedback Shift Register (LFSR) serta putaran bit yang kompleks. XLab menerbitkan algoritma yang boleh dihasilkan semula menggunakan Python untuk membantu penyelidik menganalisis sampel tersebut .

Resolusi C2 berlaku dalam dua peringkat

Sampel Dysphoria yang mempunyai fungsi DDoS terlebih dahulu menanyakan domain ENS atau SNS—contohnya burrberry.eth—untuk mendapatkan senarai alamat IP nod geganti. Ia kemudian menghubungi nod tersebut melalui permintaan seperti GET /nodes?key=meowmeowmeow bagi mendapatkan senarai alamat C2 terakhir. Senarai itu sendiri terdiri daripada peranti terjangkit lain yang bertindak sebagai geganti .

Evolusi pantas dari Mac hingga Jun 2026

Analisis XLab menunjukkan Dysphoria berubah berulang kali dalam tempoh kira-kira tiga bulan :

Perubahan pada hujung Jun amat penting. Sebahagian peranti tidak lagi digunakan secara langsung untuk melancarkan serangan DDoS, sebaliknya menjadi lapisan perantara yang membantu menyembunyikan laluan arahan.

Bagaimana Dysphoria merebak

Dysphoria merebak terutamanya melalui cubaan meneka kelayakan log masuk Telnet dan SSH yang lemah. Ia juga mengeksploitasi sekurang-kurangnya 14 kerentanan pelaksanaan kod jauh (RCE) yang menyasarkan penghala, kamera dan peranti Linux terbenam .

Kerentanan yang dieksploitasi merangkumi kelemahan IoT lama seperti CVE-2017-17215 dan CVE-2020-8515, serta kelemahan yang lebih baharu seperti CVE-2025-9528, CVE-2025-28137, CVE-2025-34152 dan CVE-2025-55182 . Gabungan kaedah ini menunjukkan bahawa pengendali terus menyelenggara dan mengemas kini rangkaian tersebut.

Mengapa usaha menutupnya menjadi lebih sukar?

Terdapat tiga lapisan pertahanan yang saling melengkapi:

1. Penamaan berasaskan blockchain — Domain C2 disimpan melalui ENS dan SNS, bukan semata-mata pada infrastruktur DNS yang boleh disita. Rekod TXT pada blockchain juga tidak mudah dipadam selepas ditulis, manakala maklumat di dalamnya boleh dikemas kini oleh pengendali .
2. Konfigurasi yang disulitkan — Alamat C2 tidak disimpan dalam bentuk teks biasa. Ia disamarkan sebagai rentetan IPv6 palsu dan dilindungi variasi RC4 tersuai. Sampel malware perlu menjalankan algoritma transformasi bait yang tepat untuk menyahkodnya .
3. Mesh geganti daripada peranti mangsa — Sejak akhir Jun, botnet tidak lagi bergantung sepenuhnya pada set pelayan milik pengendali. Arahan boleh melalui peranti terkompromi yang bertindak sebagai geganti dua hala, digerakkan oleh mekanisme berasaskan epoll dan pemetaan port UPnP. Jika satu nod ditutup, bot DDoS boleh kembali mendapatkan senarai geganti baharu melalui blockchain .

Kesimpulan XLab dan CNCERT ialah menutup satu alamat IP atau domain sahaja tidak mencukupi. Lapisan C2 disembunyikan secara kriptografi, maklumat penamaan berada pada lejar teragih dan laluan arahan bergerak melalui peranti rumah yang terjangkit serta boleh berubah-ubah .

Bagi pemilik penghala, kamera keselamatan dan peranti Linux terbenam, ancaman ini turut mengingatkan bahawa kata laluan Telnet atau SSH yang lemah dan perisian tegar yang tidak dikemas kini boleh menjadikan peranti biasa sebahagian daripada infrastruktur serangan tanpa pengetahuan pemiliknya.