Ботнет мрежа, наречена Dysphoria, е компрометирала около 200 000 устройства по целия свят и ги използва за разпределени атаки за отказ на услуга (DDoS) и операции за пренасочване на трафик.
Според изследователи по киберсигурност от QiAnXin XLab, Dysphoria е еволюирала от зловредния софтуер „jackskid“ и „fbot“, като е добавила скрит механизъм за разрешаване на адресите на командните сървъри (C2), базиран на блокчейн.
По-конкретно, ботнет мрежата използва Ethereum ENS и Solana SNS домейни за извличане на информация за инфраструктурата, докато C2 адресите са скрити в фалшиви IPv6 низове и се възстановяват с помощта на персонализиран алгоритъм за трансформация на байтове.
Изследователите за първи път са забелязали Dysphoria на 25 март и са идентифицирали множество итерации, които добавят съществени актуализации, като алгоритъм за придобиване на C2, поддръжка на множество блокчейн вериги, нови домейни и функционално разделение между вариантите за пренасочване и тези за DDoS.
„От първото тримесечие на 2026 г. XLAB непрекъснато проследява зараждаща се фамилия ботнет мрежи с име Dysphoria, чийто брой ботове надхвърля 200 000“, се посочва в доклада на XLab. „Само за няколко месеца фамилията претърпя чести актуализации на вариантите и технически итерации, демонстрирайки изключително силна устойчивост.“
Използването на блокчейн в C2 операциите прави цялостната инфраструктура по-трудна за проследяване и демонтиране. Въз основа на анализа на изследователите, инфектираните клиенти изпращат фиксиран 78-байтов пакет за влизане и проверка на жизнеспособността (heartbeat) обратно към командния сървър и получават от оператора команди за DDoS атаки, които включват продължителност, тип, цели и конфигурируеми флагове.
В края на юни XLab наблюдава вариант, който се фокусира единствено върху превръщането на заразените устройства в мрежови проксита и напълно отхвърля функционалността за DDoS. Зловредният код злоупотребява с UPnP (Universal Plug and Play) на компрометираното устройство, за да създаде 155 правила за пренасочване на портове, излагайки вътрешни услуги на входящи интернет връзки.
Докладът на XLab отбелязва, че ботнет мрежата се разпространява чрез слаби идентификационни данни за Telnet и SSH и известни уязвимости в рутери, камери и различни IoT устройства. Сред по-скорошните експлоатирани уязвимости са CVE-2025-55182 („React2Shell“), CVE-2025-34152, CVE-2025-28137 (Totolink) и CVE-2025-9528 (Linksys). Въпреки това Dysphoria се насочва и към по-стари слабости, които все още съществуват в много устройства, като CVE-2017-17215 (Huawei) и CVE-2020-8515 (DrayTek).
Потребителите могат да се защитят от инфекции с ботнет мрежи, като поддържат фърмуера на устройствата си актуален (чрез инсталиране на най-новите корекции за сигурност), променят администраторската парола по подразбиране, деактивират отдалечения достъп, ако не е необходим, и засилят настройките за сигурност, където това е възможно.