Dysphoria: botnet IoT ukrywa serwery sterujące w blockchainie

Jak działa komunikacja Dysphoria?

ENS i SNS zamiast klasycznego DNS

Podstawą nowego rozwiązania są domeny Ethereum Name Service (ENS) oraz Solana Name Service (SNS). Zamiast przechowywać adres serwera C2 — czyli infrastruktury command and control, służącej do wydawania poleceń zainfekowanym urządzeniom — w tradycyjnym DNS, botnet zapisuje informacje w rekordach TXT powiązanych z blockchainem .

Takie rekordy nie zależą od jednego rejestratora ani dostawcy hostingu. Operator może zmienić zapis wskazujący dalszą infrastrukturę, nie uruchamiając ponownie przejętego serwera i nie rejestrując nowej domeny w klasycznym systemie DNS .

Fałszywy adres IPv6 jako zasłona dymna

Adresy C2 są ukrywane w ciągach wyglądających jak adresy IPv6, na przykład 2001:db8:12e7:13d7::1. Takie wartości trafiają do rekordów TXT ENS lub SNS. Złośliwe oprogramowanie nie traktuje ich jednak jak prawdziwych adresów IPv6. Wydobywa z ciągu ukryty klucz o długości 4 bajtów, a następnie przepuszcza go przez niestandardową funkcję permutacji F(), aby odzyskać właściwy adres IPv4 .

Zmodyfikowany RC4 i wieloetapowe odszyfrowywanie

Konfiguracja jest dodatkowo chroniona przez mocno zmienioną odmianę szyfru RC4. Mechanizm wykorzystuje dwie rundy algorytmu KSA: standardową rundę RC4 oraz przetasowanie tablicy S-box oparte na generatorze liniowym kongruencyjnym (LCG). W fazie PRGA dodano krok wykorzystujący rejestr przesuwający z liniowym sprzężeniem zwrotnym (LFSR) i złożone operacje rotacji bitowych.

XLab opublikował pełny algorytm wraz z implementacją możliwą do odtworzenia w Pythonie, co pozwala badaczom analizować próbki Dysphoria .

Dwuetapowe odnajdywanie C2

Próbka odpowiedzialna za ataki DDoS najpierw odpytywała domenę ENS lub SNS — przykładowo burrberry.eth — aby pobrać listę adresów węzłów przekaźnikowych. Następnie łączyła się z nimi za pomocą żądania GET /nodes?key=meowmeowmeow. Dopiero przekaźniki przekazywały listę końcowych adresów C2.

Co istotne, część tych przekaźników również stanowiły wcześniej zainfekowane urządzenia, a nie serwery należące bezpośrednio do operatorów botnetu .

Szybka ewolucja od marca do czerwca 2026 roku

Analiza XLab pokazuje, że Dysphoria był aktualizowany w krótkich odstępach czasu .

Najważniejsza zmiana nastąpiła pod koniec czerwca. Część zainfekowanych urządzeń przestała służyć bezpośrednio do przeprowadzania ataków DDoS, a zaczęła działać jako węzły proxy i przekaźniki ruchu .

W jaki sposób Dysphoria się rozprzestrzenia?

Botnet wykorzystuje przede wszystkim ataki słownikowe na dane logowania do usług Telnet i SSH. Uzupełnieniem są co najmniej 14 znanych luk umożliwiających zdalne wykonanie kodu (RCE), wymierzonych w routery, kamery i urządzenia z wbudowanym systemem Linux .

Na liście wykorzystywanych podatności znajdują się zarówno starsze luki IoT, między innymi CVE-2017-17215 i CVE-2020-8515, jak i nowsze problemy oznaczone jako CVE-2025-9528, CVE-2025-28137, CVE-2025-34152 oraz CVE-2025-55182. Zestaw ten wskazuje, że operatorzy regularnie aktualizują możliwości infekowania kolejnych urządzeń .

Dlaczego tak trudno go wyłączyć?

O odporności Dysphoria decyduje nie jedna technika, lecz połączenie trzech elementów:

1. Rozproszona obsługa nazw ENS i SNS. Informacje o C2 są zapisane w publicznych blockchainach, a nie w infrastrukturze DNS, którą można przejąć. Po zapisaniu rekordy TXT pozostają niezmienne, natomiast operator może aktualizować zawarte w nich wskazania bez modyfikowania konkretnego serwera .
2. Szyfrowane konfiguracje. Adresy C2 nie są przechowywane w postaci jawnej. Ukrywa się je w ciągach przypominających adresy IPv6, a następnie zabezpiecza niestandardowym wariantem RC4. Odczyt wymaga uruchomienia dokładnie tego algorytmu transformacji bajtów, który zapisano w próbce malware .
3. Sieć przekaźników złożona z ofiar. Od końca czerwca botnet nie musi opierać się na stałej grupie serwerów operatora. Polecenia mogą przechodzić przez przejęte urządzenia działające jako dwukierunkowe przekaźniki obsługiwane przez mechanizm epoll, z dodatkowymi przekierowaniami portów UPnP. Wyłączenie pojedynczego węzła powoduje jedynie, że boty ponownie odpytują blockchain i pobierają świeżą listę przekaźników .

W praktyce oznacza to, że blokada jednego adresu IP lub domeny nie rozwiązuje problemu. Warstwa C2 jest ukryta kryptograficznie, informacje o infrastrukturze znajdują się poza kontrolą pojedynczego dostawcy, a droga komunikacji prowadzi przez zmieniającą się sieć zainfekowanych routerów domowych i innych urządzeń IoT .

Dysphoria nie jest więc po prostu kolejnym wariantem Mirai. Jego istotą jest próba przeniesienia punktów kontroli z serwerów, które można przejąć, na blockchain oraz urządzenia należące do samych ofiar. To znacząco komplikuje tradycyjne działania zakłócające, choć nie oznacza, że botnet jest całkowicie niemożliwy do wykrycia lub rozbicia.