Dysphoria се появи като бързо развиващ се IoT ботнет, който е заразил приблизително 200 000 устройства по целия свят.
Зловредният софтуер е насочен към рутери, камери, шлюзове и други вградени Linux системи, превръщайки лошо защитеното оборудване в ресурси за киберпрестъпни операции.
Неговите оператори използват комбинация от атаки с пароли през Telnet и SSH, заедно с известни софтуерни дефекти, за да получат достъп. Този познат подход все още е ефективен, тъй като много свързани устройства остават изложени в интернет, работят със стар фърмуер или използват слаби идентификационни данни.
Анализатори от Qianxin идентифицираха бързата еволюция на зловредния софтуер и необичайното му използване на домейни, базирани на блокчейн, за прикриване на командната си инфраструктура (C2).
Qianxin заявява в доклад, споделен с Cyber Security News (CSN), че Dysphoria многократно е променяла своя код и мрежов дизайн от началото на 2026 г. Ботнетът не се ограничава само до стартиране на разрушителни наводнения от трафик (DDoS).
По-новите варианти могат да превърнат заразените машини в релейни възли, позволявайки на операторите да пренасочват трафика през компрометирани устройства и да направят реалната контролна инфраструктура по-трудна за идентифициране или отстраняване.
Тази комбинация от мащабно заразяване, адаптивен код и скрити канали за контрол превръща Dysphoria в сериозна заплаха за домашните потребители и организациите, работещи с оборудване, свързано с интернет. Неговата активност също така показва защо защитата на свързаните IoT устройства изисква нещо повече от просто промяна на фабричната парола на устройството.
Ботнетът Dysphoria използва блокчейн домейни
Най-забележителната характеристика на Dysphoria е използването на домейни от Ethereum Name Service (ENS) и Solana Name Service (SNS) за локализиране на контролната си инфраструктура.
Вместо да разчита на един фиксиран сървърен адрес, зловредният софтуер търси записи, свързани с блокчейн домейни, и получава данни, които го насочват към активни релейни и контролни системи.
Тази техника дава на операторите допълнително ниво на устойчивост. Блокирането на конвенционален домейн или IP адрес може да прекъсне комуникациите на ботнет мрежата, но записите, свързани с блокчейн, могат да позволят на атакуващите да обновяват инфраструктурата, без да модифицират всяко заразено устройство.
Това наподобява други кампании, при които тактиките с блокчейн C2 инфраструктура затрудниха усилията за проследяване на злонамерени сървъри.
Изследователите забелязаха, че ботът изпраща заявки към ENS и SNS записи, след което извлича скрита мрежова информация от върнатите данни. В един от случаите зловредният софтуер използва блокчейн домейн, за да извлече релейно-разпределителни възли, които след това предоставят адресите, използвани за директна командна комуникация.
Последните проби използват и модифицирани процедури за шифроване, за да скрият низове и конфигурационни данни. Тези защити забавят анализа и помагат на зловредния софтуер да избягва прости сигнатури, докато ротиращата се инфраструктура намалява ползата от блокирането само на отделни индикатори.
Отделен вариант на Dysphoria, открит в края на юни, премахва своята DDoS функция и се фокусира изцяло върху създаването на релейни проксита. Той може да търси мрежови шлюзове, които поддържат UPnP, да отваря портове автоматично и да излага заразената система за препредаване на трафик.
След като се активира, релейният компонент може да свърже външния трафик с отдалечена дестинация, като използва устройството на жертвата като посредник. Докладът посочва, че това създава хибридна структура, в която заразените хостове поддържат както DDoS операции, така и разпределена релейна мрежа.
Dysphoria се разпространява чрез слаби Telnet и SSH пароли и експлоатира уязвимости, засягащи IoT оборудване, включително по-стари недостатъци, които остават широко разпространени. Подобни модели на излагане на риск бяха наблюдавани наскоро в кампания за зареждане на рутери, при която атакуващите злоупотребиха с уязвими интерфейси за управление, за да внедрят злонамерен код.
Мониторингът между 14 юли и 20 юли установи 4401 потвърдени активни ботове в Китай, докато пиковият брой на чуждестранните ботове онлайн достигна 239 000. Изтекли екранни снимки от контролния панел, прегледани от изследователи, показват, че операторите поддържат ботнет от около 200 000 устройства и твърдят, че имат потенциален DDoS капацитет до 4 Tbps.
Собствениците на устройства трябва да променят фабричните идентификационни данни, да деактивират Telnet и отдалеченото управление, където те не са от съществено значение, и своевременно да инсталират предоставените от доставчика корекции за сигурност.
Организациите също така трябва да изолират IoT оборудването от критичните системи, да наблюдават за необичайни изходящи връзки и да преразгледат по-широката си стратегия за управление на сигурността на IoT, за да ограничат въздействието на заразено устройство.