Cách Thức Hoạt Động: Giải Pháp Tên Miền Blockchain và C2 Mã Hóa

Cải tiến cốt lõi là việc sử dụng tên miền Ethereum Name Service (ENS) và Solana Name Service (SNS) để định vị cơ sở hạ tầng chỉ huy và kiểm soát. Thay vì đăng ký một tên miền DNS có thể bị tịch thu, botnet lưu trữ thông tin C2 trong các bản ghi TXT trên blockchain mà không một thực thể đơn lẻ nào có thể kiểm soát .

Địa Chỉ IPv6 Giả Làm Mồi Nhử

Địa chỉ C2 được nhúng bên trong các địa chỉ IPv6 giả – ví dụ: 2001:db8:12e7:13d7::1 – được lưu trữ trong các bản ghi TXT của ENS/SNS. Phần mềm độc hại chỉ trích xuất một khóa 4 byte từ chuỗi và chạy nó qua một hàm hoán vị tùy chỉnh F() để khôi phục địa chỉ IPv4 thực [Báo cáo chính của XLab].

Thuật Toán Biến Đổi Byte Tùy Chỉnh

Quá trình giải mã sử dụng một biến thể RC4 được sửa đổi nặng nề với hai vòng KSA: RC4 tiêu chuẩn cộng với một bước xáo trộn S-box dựa trên LCG. Giai đoạn PRGA kết hợp một bước LFSR và các phép xoay bit phức tạp. XLab đã công bố một thuật toán có thể tái tạo bằng Python cho các nhà nghiên cứu [Báo cáo chính của XLab].

Giải Pháp C2 Hai Giai Đoạn

Mẫu DDoS trước tiên sẽ truy vấn một miền ENS/SNS (ví dụ: burrberry.eth) để lấy một khối địa chỉ IP của các nút chuyển tiếp. Sau đó, nó liên hệ với các nút chuyển tiếp này qua GET /nodes?key=meowmeowmeow để nhận danh sách địa chỉ C2 cuối cùng – mà bản thân nó bao gồm các thiết bị bị nhiễm khác đang hoạt động như các nút chuyển tiếp [Báo cáo chính của XLab].

Sự Tiến Hóa Nhanh Chóng Từ Tháng 3 Đến Tháng 6/2026

Botnet đã trải qua các lần cập nhật thường xuyên và được ghi nhận chỉ trong vòng ba tháng [Báo cáo chính của XLab]:

Phương Thức Lây Lan

Dysphoria lây lan chủ yếu thông qua dò quét mật khẩu Telnet và SSH, đồng thời khai thác ít nhất 14 lỗ hổng thực thi mã từ xa (RCE) đã biết nhắm vào bộ định tuyến, camera và các thiết bị Linux nhúng [Báo cáo chính của XLab]. Các CVE bị khai thác bao gồm từ các lỗ hổng IoT lâu năm (CVE-2017-17215, CVE-2020-8515) đến các lỗ hổng mới được tiết lộ (CVE-2025-9528, CVE-2025-28137, CVE-2025-34152, CVE-2025-55182), xác nhận việc botnet được bảo trì tích cực [Báo cáo chính của XLab].

Tại Sao Dysphoria Khó Bị Vô Hiệu Hóa Hơn Nhiều

Ba lựa chọn thiết kế đan xen nhau đã phá vỡ các phương án 'hạ gục' botnet cổ điển:

1. Giải pháp tên miền dựa trên blockchain (ENS + SNS) – Các miền C2 được đăng ký trên blockchain công khai, chứ không phải trên cơ sở hạ tầng DNS mà cơ quan thực thi pháp luật có thể tịch thu. Các bản ghi TXT là bất biến sau khi được ghi, và người vận hành có thể chỉ cần cập nhật bản ghi mà không cần chạm vào bất kỳ máy chủ nào [Báo cáo chính của XLab].
2. Cấu hình được mã hóa, bảo vệ bằng thuật toán – Địa chỉ C2 không bao giờ được lưu trữ dưới dạng văn bản thuần túy. Chúng được bọc trong các chuỗi IPv6 giả, mã hóa bằng mật mã RC4 biến thể tùy chỉnh và chỉ có thể được giải mã bằng cách chạy chính xác thuật toán biến đổi byte được mã hóa cứng trong mỗi mẫu [Báo cáo chính của XLab].
3. Mạng lưới trung chuyển phân tán từ các thiết bị bị nhiễm – Kể từ cuối tháng 6, botnet không còn phụ thuộc vào một tập hợp máy chủ cố định do người vận hành sở hữu. Các lệnh tấn công luân chuyển qua một mạng lưới các thiết bị bị xâm nhập hoạt động như các bộ chuyển tiếp hai chiều, được điều khiển bởi epoll và có ánh xạ cổng UPnP. Việc tắt một trạm chuyển tiếp chỉ khiến các bot DDoS truy vấn lại blockchain để lấy một danh sách chuyển tiếp mới [Báo cáo chính của XLab].

Như XLab và CNCERT đã kết luận, sự kết hợp này có nghĩa là việc hạ gục bất kỳ địa chỉ IP hoặc tên miền riêng lẻ nào đều không hiệu quả, bởi vì lớp C2 được che giấu bằng mật mã, các bản ghi tên nằm trên một blockchain bất biến, và đường dẫn lệnh chạy qua hàng trăm nghìn bộ định tuyến gia đình luân chuyển, không thể bị hạ gục [Báo cáo chính của XLab].

Cách Thức Hoạt Động: Giải Pháp Tên Miền Blockchain và C2 Mã Hóa

Cải tiến cốt lõi là việc sử dụng tên miền Ethereum Name Service (ENS) và Solana Name Service (SNS) để định vị cơ sở hạ tầng chỉ huy và kiểm soát. Thay vì đăng ký một tên miền DNS có thể bị tịch thu, botnet lưu trữ thông tin C2 trong các bản ghi TXT trên blockchain mà không một thực thể đơn lẻ nào có thể kiểm soát .

Địa Chỉ IPv6 Giả Làm Mồi Nhử

Địa chỉ C2 được nhúng bên trong các địa chỉ IPv6 giả – ví dụ: 2001:db8:12e7:13d7::1 – được lưu trữ trong các bản ghi TXT của ENS/SNS. Phần mềm độc hại chỉ trích xuất một khóa 4 byte từ chuỗi và chạy nó qua một hàm hoán vị tùy chỉnh F() để khôi phục địa chỉ IPv4 thực [Báo cáo chính của XLab].

Thuật Toán Biến Đổi Byte Tùy Chỉnh

Quá trình giải mã sử dụng một biến thể RC4 được sửa đổi nặng nề với hai vòng KSA: RC4 tiêu chuẩn cộng với một bước xáo trộn S-box dựa trên LCG. Giai đoạn PRGA kết hợp một bước LFSR và các phép xoay bit phức tạp. XLab đã công bố một thuật toán có thể tái tạo bằng Python cho các nhà nghiên cứu [Báo cáo chính của XLab].

Giải Pháp C2 Hai Giai Đoạn

Mẫu DDoS trước tiên sẽ truy vấn một miền ENS/SNS (ví dụ: burrberry.eth) để lấy một khối địa chỉ IP của các nút chuyển tiếp. Sau đó, nó liên hệ với các nút chuyển tiếp này qua GET /nodes?key=meowmeowmeow để nhận danh sách địa chỉ C2 cuối cùng – mà bản thân nó bao gồm các thiết bị bị nhiễm khác đang hoạt động như các nút chuyển tiếp [Báo cáo chính của XLab].

Sự Tiến Hóa Nhanh Chóng Từ Tháng 3 Đến Tháng 6/2026

Botnet đã trải qua các lần cập nhật thường xuyên và được ghi nhận chỉ trong vòng ba tháng [Báo cáo chính của XLab]:

Phương Thức Lây Lan

Dysphoria lây lan chủ yếu thông qua dò quét mật khẩu Telnet và SSH, đồng thời khai thác ít nhất 14 lỗ hổng thực thi mã từ xa (RCE) đã biết nhắm vào bộ định tuyến, camera và các thiết bị Linux nhúng [Báo cáo chính của XLab]. Các CVE bị khai thác bao gồm từ các lỗ hổng IoT lâu năm (CVE-2017-17215, CVE-2020-8515) đến các lỗ hổng mới được tiết lộ (CVE-2025-9528, CVE-2025-28137, CVE-2025-34152, CVE-2025-55182), xác nhận việc botnet được bảo trì tích cực [Báo cáo chính của XLab].

Tại Sao Dysphoria Khó Bị Vô Hiệu Hóa Hơn Nhiều

Ba lựa chọn thiết kế đan xen nhau đã phá vỡ các phương án 'hạ gục' botnet cổ điển:

1. Giải pháp tên miền dựa trên blockchain (ENS + SNS) – Các miền C2 được đăng ký trên blockchain công khai, chứ không phải trên cơ sở hạ tầng DNS mà cơ quan thực thi pháp luật có thể tịch thu. Các bản ghi TXT là bất biến sau khi được ghi, và người vận hành có thể chỉ cần cập nhật bản ghi mà không cần chạm vào bất kỳ máy chủ nào [Báo cáo chính của XLab].
2. Cấu hình được mã hóa, bảo vệ bằng thuật toán – Địa chỉ C2 không bao giờ được lưu trữ dưới dạng văn bản thuần túy. Chúng được bọc trong các chuỗi IPv6 giả, mã hóa bằng mật mã RC4 biến thể tùy chỉnh và chỉ có thể được giải mã bằng cách chạy chính xác thuật toán biến đổi byte được mã hóa cứng trong mỗi mẫu [Báo cáo chính của XLab].
3. Mạng lưới trung chuyển phân tán từ các thiết bị bị nhiễm – Kể từ cuối tháng 6, botnet không còn phụ thuộc vào một tập hợp máy chủ cố định do người vận hành sở hữu. Các lệnh tấn công luân chuyển qua một mạng lưới các thiết bị bị xâm nhập hoạt động như các bộ chuyển tiếp hai chiều, được điều khiển bởi epoll và có ánh xạ cổng UPnP. Việc tắt một trạm chuyển tiếp chỉ khiến các bot DDoS truy vấn lại blockchain để lấy một danh sách chuyển tiếp mới [Báo cáo chính của XLab].

Như XLab và CNCERT đã kết luận, sự kết hợp này có nghĩa là việc hạ gục bất kỳ địa chỉ IP hoặc tên miền riêng lẻ nào đều không hiệu quả, bởi vì lớp C2 được che giấu bằng mật mã, các bản ghi tên nằm trên một blockchain bất biến, và đường dẫn lệnh chạy qua hàng trăm nghìn bộ định tuyến gia đình luân chuyển, không thể bị hạ gục [Báo cáo chính của XLab].