Como funciona: resolução de nomes via blockchain e C2 criptografado

A inovação central é o uso de domínios do Ethereum Name Service (ENS) e do Solana Name Service (SNS) para localizar a infraestrutura de comando e controle (C2). Em vez de registrar um domínio DNS que pode ser apreendido, o botnet armazena as informações de C2 em registros TXT na blockchain, que nenhuma entidade controla sozinha .

Estratégia de ofuscação com IPv6 falso

Os endereços de C2 são inseridos dentro de endereços IPv6 falsos — por exemplo, 2001:db8:12e7:13d7::1 — armazenados nos registros TXT do ENS/SNS. O malware extrai apenas uma chave de 4 bytes da string e a executa por meio de uma função de permutação personalizada F() para recuperar o endereço IPv4 real [Relatório primário do XLab].

Algoritmo personalizado de transformação de bytes

A descriptografia usa uma cifra RC4 fortemente modificada com duas rodadas do algoritmo KSA (Key Scheduling Algorithm): o RC4 padrão mais uma permutação da S-box baseada em LCG. A fase PRGA (Pseudo-Random Generation Algorithm) incorpora uma etapa LFSR (Linear Feedback Shift Register) e rotações de bits complexas. O XLab publicou um algoritmo completo reproduzível em Python para auxiliar pesquisadores [Relatório primário do XLab].

Resolução de C2 em dois estágios

A amostra de DDoS primeiro consulta um domínio ENS/SNS (como burrberry.eth) para obter um bloco de IPs de nós de relé. Em seguida, contata esses relés via GET /nodes?key=meowmeowmeow para receber a lista final de endereços C2 — que, por sua vez, é composta por outros dispositivos infectados atuando como relés [Relatório primário do XLab].

Evolução rápida de março a junho de 2026

O botnet passou por iterações frequentes e documentadas em apenas três meses [Relatório primário do XLab]:

Métodos de propagação

O Dysphoria se espalha principalmente por meio de ataques de força bruta em credenciais de Telnet e SSH, mas também explora pelo menos 14 vulnerabilidades conhecidas de execução remota de código (RCE) que afetam roteadores, câmeras e dispositivos Linux embarcados [Relatório primário do XLab]. As CVEs exploradas variam de falhas antigas em IoT (CVE-2017-17215, CVE-2020-8515) a vulnerabilidades divulgadas recentemente (CVE-2025-9528, CVE-2025-28137, CVE-2025-34152, CVE-2025-55182), confirmando que o botnet é ativamente mantido [Relatório primário do XLab].

Por que o Dysphoria é muito mais difícil de derrubar

Três escolhas de design interligadas quebram o manual clássico de desativação de botnets:

1. Resolução de nomes baseada em blockchain (ENS + SNS) – Os domínios de C2 são registrados em blockchains públicas, não em infraestrutura DNS que as autoridades podem confiscar. Os registros TXT são imutáveis depois de escritos, e o operador pode simplesmente atualizar o registro sem tocar em nenhum servidor [Relatório primário do XLab].
2. Configurações criptografadas e protegidas por algoritmo – Os endereços de C2 nunca são armazenados em texto puro. Eles são embalados em strings IPv6 falsas, criptografados com uma cifra RC4 personalizada e só podem ser decodificados executando o algoritmo exato de transformação de bytes codificado em cada amostra [Relatório primário do XLab].
3. Malha de relés distribuída a partir de dispositivos infectados – Desde o final de junho, o botnet não depende mais de um conjunto fixo de servidores controlados pelos operadores. Os comandos de ataque fluem por uma rede de dispositivos comprometidos que atuam como relés bidirecionais, movidos a epoll e com mapeamento de porta UPnP. Desativar um relé faz com que os bots de DDoS consultem a blockchain novamente em busca de uma nova lista de relés [Relatório primário do XLab].

Como concluíram o XLab e o CNCERT, essa combinação significa que derrubar um único endereço IP ou domínio é ineficaz, porque a camada de C2 está criptograficamente oculta, os registros de nomes estão em uma blockchain imutável e o caminho de comando passa por centenas de milhares de roteadores residenciais rotativos e praticamente impossíveis de serem desligados [Relatório primário do XLab].

Como funciona: resolução de nomes via blockchain e C2 criptografado

A inovação central é o uso de domínios do Ethereum Name Service (ENS) e do Solana Name Service (SNS) para localizar a infraestrutura de comando e controle (C2). Em vez de registrar um domínio DNS que pode ser apreendido, o botnet armazena as informações de C2 em registros TXT na blockchain, que nenhuma entidade controla sozinha .

Estratégia de ofuscação com IPv6 falso

Os endereços de C2 são inseridos dentro de endereços IPv6 falsos — por exemplo, 2001:db8:12e7:13d7::1 — armazenados nos registros TXT do ENS/SNS. O malware extrai apenas uma chave de 4 bytes da string e a executa por meio de uma função de permutação personalizada F() para recuperar o endereço IPv4 real [Relatório primário do XLab].

Algoritmo personalizado de transformação de bytes

A descriptografia usa uma cifra RC4 fortemente modificada com duas rodadas do algoritmo KSA (Key Scheduling Algorithm): o RC4 padrão mais uma permutação da S-box baseada em LCG. A fase PRGA (Pseudo-Random Generation Algorithm) incorpora uma etapa LFSR (Linear Feedback Shift Register) e rotações de bits complexas. O XLab publicou um algoritmo completo reproduzível em Python para auxiliar pesquisadores [Relatório primário do XLab].

Resolução de C2 em dois estágios

A amostra de DDoS primeiro consulta um domínio ENS/SNS (como burrberry.eth) para obter um bloco de IPs de nós de relé. Em seguida, contata esses relés via GET /nodes?key=meowmeowmeow para receber a lista final de endereços C2 — que, por sua vez, é composta por outros dispositivos infectados atuando como relés [Relatório primário do XLab].

Evolução rápida de março a junho de 2026

O botnet passou por iterações frequentes e documentadas em apenas três meses [Relatório primário do XLab]:

Métodos de propagação

O Dysphoria se espalha principalmente por meio de ataques de força bruta em credenciais de Telnet e SSH, mas também explora pelo menos 14 vulnerabilidades conhecidas de execução remota de código (RCE) que afetam roteadores, câmeras e dispositivos Linux embarcados [Relatório primário do XLab]. As CVEs exploradas variam de falhas antigas em IoT (CVE-2017-17215, CVE-2020-8515) a vulnerabilidades divulgadas recentemente (CVE-2025-9528, CVE-2025-28137, CVE-2025-34152, CVE-2025-55182), confirmando que o botnet é ativamente mantido [Relatório primário do XLab].

Por que o Dysphoria é muito mais difícil de derrubar

Três escolhas de design interligadas quebram o manual clássico de desativação de botnets:

1. Resolução de nomes baseada em blockchain (ENS + SNS) – Os domínios de C2 são registrados em blockchains públicas, não em infraestrutura DNS que as autoridades podem confiscar. Os registros TXT são imutáveis depois de escritos, e o operador pode simplesmente atualizar o registro sem tocar em nenhum servidor [Relatório primário do XLab].
2. Configurações criptografadas e protegidas por algoritmo – Os endereços de C2 nunca são armazenados em texto puro. Eles são embalados em strings IPv6 falsas, criptografados com uma cifra RC4 personalizada e só podem ser decodificados executando o algoritmo exato de transformação de bytes codificado em cada amostra [Relatório primário do XLab].
3. Malha de relés distribuída a partir de dispositivos infectados – Desde o final de junho, o botnet não depende mais de um conjunto fixo de servidores controlados pelos operadores. Os comandos de ataque fluem por uma rede de dispositivos comprometidos que atuam como relés bidirecionais, movidos a epoll e com mapeamento de porta UPnP. Desativar um relé faz com que os bots de DDoS consultem a blockchain novamente em busca de uma nova lista de relés [Relatório primário do XLab].

Como concluíram o XLab e o CNCERT, essa combinação significa que derrubar um único endereço IP ou domínio é ineficaz, porque a camada de C2 está criptograficamente oculta, os registros de nomes estão em uma blockchain imutável e o caminho de comando passa por centenas de milhares de roteadores residenciais rotativos e praticamente impossíveis de serem desligados [Relatório primário do XLab].