Dysphoria IoT 僵屍網絡：區塊鏈 C2 讓 20 萬感染裝置幾乎無法被摧毀

運作原理：區塊鏈名稱解析與加密 C2

核心創新在於利用以太坊名稱服務（ENS）與 Solana 名稱服務（SNS）的區塊鏈域名來定位命令與控制基礎設施。與其註冊一個可以被查封的 DNS 域名，僵屍網絡將 C2 資訊儲存在區塊鏈的 TXT 紀錄中，沒有任何單一實體能控制這些紀錄 。

偽裝 IPv6 字串誘餌

C2 地址被嵌入偽造的 IPv6 地址（例如 2001:db8:12e7:13d7::1）中，並儲存在 ENS/SNS 的 TXT 紀錄。惡意軟體只從字串中提取一個 4 位元組的鑰匙，再透過自訂排列函數 F() 還原真實的 IPv4 地址 [Primary XLab report]。

自訂位元組轉換演算法

解密使用經過重度修改的 RC4 密碼，包含兩輪金鑰調度演算法（KSA）：標準 RC4 加上一個基於線性同餘生成器（LCG）的 S-Box 洗牌。偽隨機生成演算法（PRGA）階段則混合了線性回饋移位暫存器（LFSR）步驟與複雜的位元旋轉。XLab 已發布完整的 Python 可重現演算法供研究人員參考 [Primary XLab report]。

兩階段 C2 解析

DDoS 樣本首先查詢一個 ENS/SNS 域名（例如 burrberry.eth），取回一批中繼節點 IP。接著透過 GET /nodes?key=meowmeowmeow 聯絡這些中繼節點，以接收最終的 C2 地址列表——而這個列表本身由其他受感染的裝置（作為中繼節點）組成 [Primary XLab report]。

2026 年 3 月至 6 月的快速演化

該僵屍網絡在短短三個月內經歷了多次有紀錄的迭代 [Primary XLab report]：

傳播方式

Dysphoria 主要透過Telnet 與 SSH 憑證暴力破解傳播，同時也利用至少 14 個已知的遠端程式碼執行（RCE）漏洞，針對路由器、攝影機與嵌入式 Linux 裝置 [Primary XLab report]。利用的 CVE 涵蓋長期存在的 IoT 漏洞（CVE-2017-17215、CVE-2020-8515）到近期揭露的漏洞（CVE-2025-9528、CVE-2025-28137、CVE-2025-34152、CVE-2025-55182），證實了攻擊者的積極維護 [Primary XLab report]。

為何 Dysphoria 更難被瓦解

三個環環相扣的設計選擇打破了傳統的查封策略：

1. 基於區塊鏈的名稱解析（ENS + SNS） – C2 域名註冊在公開區塊鏈上，而非執法機構可以查封的 DNS 基礎設施。TXT 紀錄一旦寫入便不可竄改，攻擊者只需更新紀錄，無需觸碰任何伺服器 [Primary XLab report]。
2. 加密且受演算法保護的設定 – C2 地址絕不以明文儲存。它們被封裝在偽造的 IPv6 字串中，並以自訂 RC4 變種密碼加密，只能透過執行每個樣本中硬編碼的位元組轉換演算法來解碼 [Primary XLab report]。
3. 由受感染裝置構成的分散式中繼網格 – 自 6 月底起，該僵屍網絡不再依賴攻擊者擁有的固定伺服器組。攻擊指令透過由受感染裝置組成的網絡傳遞，這些裝置扮演著雙向、基於 epoll 驅動且具有 UPnP 連接埠映射的中繼角色。關閉一個中繼只會讓 DDoS Bot 再次查詢區塊鏈以獲取新的中繼列表 [Primary XLab report]。

正如 XLab 與 CNCERT 的結論，這種組合意味著封鎖任何單一 IP 地址或域名都是無效的，因為 C2 層經過密碼學隱藏、名稱紀錄位於不可竄改的區塊鏈上，而指令路徑則穿梭於數十萬個不斷輪換、無法被查封的家用路由器之間 [Primary XLab report]。