Ботнет Dysphoria: как блокчейн делает 200 000 заражённых устройств почти неуязвимыми

Как это работает: разрешение имён через блокчейн и зашифрованный C2

Ключевое новшество — использование Ethereum Name Service (ENS) и Solana Name Service (SNS) для поиска командно-контрольной инфраструктуры. Вместо регистрации DNS-домена, который можно изъять, ботнет хранит C2-информацию в TXT-записях блокчейна, которые не контролируются ни одной отдельной структурой .

Поддельная строка IPv6 как приманка

C2-адреса встраиваются внутрь поддельных IPv6-адресов (например, 2001:db8:12e7:13d7::1), хранящихся в TXT-записях ENS/SNS. Вредоносная программа извлекает из строки только 4-байтовый ключ и прогоняет его через собственную функцию перестановки F(), чтобы восстановить реальный IPv4-адрес [Первичный отчёт XLab].

Собственный алгоритм преобразования байтов

Дешифровка использует сильно модифицированный шифр RC4 с двумя раундами Key Scheduling Algorithm (KSA): стандартный RC4 плюс перемешивание S-box на основе LCG. На этапе Pseudo-Random Generation Algorithm (PRGA) добавляется шаг Linear Feedback Shift Register (LFSR) и сложные побитовые ротации. XLab опубликовала полностью воспроизводимый на Python алгоритм для исследователей [Первичный отчёт XLab].

Двухэтапное разрешение C2

DDoS-образец сначала запрашивает домен ENS/SNS (например, burrberry.eth), чтобы получить блок IP-адресов ретрансляционных узлов. Затем он связывается с этими ретрансляторами через GET /nodes?key=meowmeowmeow, чтобы получить окончательный список C2-адресов, который сам состоит из других заражённых устройств, выступающих в роли ретрансляторов [Первичный отчёт XLab].

Быстрая эволюция: март — июнь 2026 года

За три месяца ботнет прошёл через частые задокументированные итерации [Первичный отчёт XLab]:

Методы распространения

Dysphoria распространяется в основном через подбор учётных данных Telnet и SSH, но также эксплуатирует как минимум 14 известных уязвимостей удалённого выполнения кода (RCE), нацеленных на роутеры, камеры и встраиваемые Linux-устройства [Первичный отчёт XLab]. Эксплуатируемые CVE варьируются от давних IoT-уязвимостей (CVE-2017-17215, CVE-2020-8515) до недавно раскрытых (CVE-2025-9528, CVE-2025-28137, CVE-2025-34152, CVE-2025-55182), что подтверждает активную поддержку ботнета [Первичный отчёт XLab].

Почему Dysphoria намного сложнее нейтрализовать

Три взаимосвязанных архитектурных решения ломают классический сценарий ликвидации:

1. Разрешение имён на основе блокчейна (ENS + SNS) – Домены C2 зарегистрированы в публичных блокчейнах, а не в DNS-инфраструктуре, которую правоохранительные органы могут изъять. TXT-записи после записи неизменны, и оператор может просто обновить запись, не прикасаясь к какому-либо серверу [Первичный отчёт XLab].
2. Зашифрованные, защищённые алгоритмом конфигурации – C2-адреса никогда не хранятся в открытом виде. Они обёрнуты в поддельные IPv6-строки, зашифрованы собственным вариантом шифра RC4 и могут быть декодированы только путём выполнения точного алгоритма преобразования байтов, «зашитого» в каждый образец [Первичный отчёт XLab].
3. Распределённая ретрансляционная сеть из заражённых устройств – С конца июня ботнет больше не зависит от фиксированного набора серверов, принадлежащих операторам. Команды атаки проходят через сеть скомпрометированных устройств, которые действуют как двунаправленные, epoll-управляемые ретрансляторы с пробросом портов UPnP. Отключение одного ретранслятора заставляет DDoS-ботов снова запросить блокчейн для получения свежего списка ретрансляторов [Первичный отчёт XLab].

Как заключили XLab и CNCERT, эта комбинация означает, что блокировка любого отдельного IP-адреса или домена неэффективна, потому что C2-слой криптографически скрыт, записи имён находятся в неизменяемом блокчейне, а путь команд проходит через сотни тысяч постоянно меняющихся домашних роутеров, которые невозможно заблокировать [Первичный отчёт XLab].