Dysphoria IoT 僵屍網絡：靠區塊鏈隱身嘅 C2 結構，20 萬部裝置幾乎無得拆

點樣運作：區塊鏈域名解析同加密 C2

核心創新係用 Ethereum Name Service（ENS）同 Solana Name Service（SNS）呢啲區塊鏈域名嚟搵指揮中心。Dysphoria 唔係註冊一個可以被查封嘅 DNS 域名，而係將 C2 資訊儲存喺區塊鏈嘅 TXT 記錄入面，呢啲記錄冇任何單一實體可以控制 。

假 IPv6 字串煙幕

C2 地址被嵌入假嘅 IPv6 地址入面——例如 2001:db8:12e7:13d7::1——存放喺 ENS/SNS 嘅 TXT 記錄。惡意軟件只會從字串中抽取出一個 4-byte 嘅 key，然後用一個自家設計嘅排列函數 F() 還原返真實嘅 IPv4 地址 [Primary XLab report]。

自家位元變換演算法

解密使用一個大幅改裝嘅 RC4 密碼，有兩個 Key Scheduling Algorithm（KSA）回合：標準 RC4 再加一個 LCG 為基礎嘅 S-box 亂序。Pseudo-Random Generation Algorithm（PRGA）階段混合咗一個 Linear Feedback Shift Register（LFSR）步驟同複雜嘅位元旋轉。XLab 已經公開咗一個完整嘅 Python 可重現演算法畀研究人員用 [Primary XLab report]。

兩階段 C2 解析

DDoS 樣本首先查詢一個 ENS/SNS 域名（例如 burrberry.eth），拎返一組中繼節點 IP。然後經 GET /nodes?key=meowmeowmeow 呢個路徑聯絡呢啲中繼站，再接收最終嘅 C2 地址列表——而呢個列表本身已經係由其他受感染嘅裝置充當中繼 [Primary XLab report]。

2026 年 3 月至 6 月嘅快速演化

呢個僵屍網絡喺短短三個月內經歷咗頻繁嘅更新疊代 [Primary XLab report]：

傳播方式

Dysphoria 主要通過Telnet 同 SSH 嘅暴力破解密碼嚟傳播，但佢哋亦會利用至少 14 個已知嘅遠端程式碼執行（RCE）漏洞，針對路由器、監控鏡頭同嵌入式 Linux 裝置 [Primary XLab report]。利用嘅 CVE 包括長期存在嘅 IoT 漏洞（CVE-2017-17215、CVE-2020-8515）以至近期披露嘅漏洞（CVE-2025-9528、CVE-2025-28137、CVE-2025-34152、CVE-2025-55182），證明佢哋仍然有活躍維護 [Primary XLab report]。

點解 Dysphoria 咁難拆散

三個互相配合嘅設計選擇打破咗傳統嘅拆解劇本：

1. 區塊鏈名稱解析（ENS + SNS） – C2 域名係註冊喺公共區塊鏈上面，而唔係執法機構可以查封嘅 DNS 基礎設施。TXT 記錄一經寫入就唔可以更改，操作者只要更新記錄就得，完全唔使掂任何伺服器 [Primary XLab report]。
2. 加密、由演算法保護嘅設定 – C2 地址永遠唔會以明文儲存。佢哋被包裝喺假 IPv6 字串入面，用自家改裝嘅 RC4 變種密碼加密，只有執行每個樣本入面 hard-code 咗嘅位元變換演算法先解讀到 [Primary XLab report]。
3. 由受感染裝置組成嘅分散式中繼網 – 自 6 月底起，呢個僵屍網絡唔再依賴固定嘅操作者擁有伺服器。攻擊指令通過一個由受感染裝置組成嘅網絡傳送，呢啲裝置會充當雙向、以 epoll 驅動嘅中繼站，仲有 UPnP 埠映射功能。關閉一個中繼站只會令 DDoS bots 再次查詢區塊鏈，拎返一個新嘅中繼列表 [Primary XLab report]。

正如 XLab 同 CNCERT 嘅結論，呢個組合意味住查封任何單一 IP 地址或域名都冇用，因為 C2 層被加密隱藏，域名記錄位於不可更改嘅區塊鏈，而指令路徑就經過數十萬個不斷輪換、拆唔散嘅家用路由器 [Primary XLab report]。