Botnet Dysphoria rozwija blockchainowe C2 i przekaźniki zainfekowanych urządzeń

W próbce JackSkid przechwyconej przez XLab 25 marca, sześć dni po zakłóceniu infrastruktury, zastosowano ten sam model. Późniejsza analiza wykazała, że rekordy usług nazw ENS oraz Solana Name Service, czyli SNS, mogą dostarczać adresy węzłów dystrybucyjnych i innych elementów zaplecza. Próbka DDoS pobiera od węzła dystrybucyjnego aktualną listę serwerów, a wskazane punkty to zainfekowane maszyny przekazujące ruch do właściwych kontrolerów. Dzięki temu adresy kontrolerów pozostają o jeden etap dalej od urządzeń otrzymujących polecenia.

• W końcu kwietnia dodano własne szyfrowanie ciągów znaków RC4 oraz obsługę ENS.
• Na początku maja pojawiła się obsługa Solana Name Service.
• 25 czerwca wykryto wariant ograniczony do funkcji przekaźnika, bez modułów DDoS.
• Kilka dni później dodano mapowanie portów przez UPnP, aby ułatwić komunikację przez bramy NAT.

Szybka ewolucja i niepewna skala

Wariant przekaźnikowy nie zawiera modułów DDoS. Zamiast tego wykorzystuje funkcję UPnP na lokalnej bramie oraz mechanizm epoll systemu Linux do przekazywania ruchu między połączeniem zewnętrznym a zdalną usługą C2. W praktyce zainfekowane urządzenia stają się częścią warstwy pośredniej, która może ukrywać właściwe serwery sterujące i utrudniać obrońcom odcięcie całej infrastruktury jednym działaniem. Nie oznacza to jednak pełnej niezależności od infrastruktury. Botnet nadal potrzebuje rekordów blockchainowych, dostępnych węzłów dystrybucyjnych oraz przejętych przekaźników.

CNCERT i XLab szacują, że populacja Dysphorii przekracza 200 tysięcy botów. Ich telemetria wykazała 4401 potwierdzonych aktywnych urządzeń w Chinach między 14 a 20 lipca oraz jednodniowy szczyt na poziomie 239 tysięcy botów poza Chinami. Dane te nie zostały niezależnie odtworzone. Badacze nie opublikowali również metodologii zliczania ani usuwania duplikatów, dlatego liczb nie należy traktować jako precyzyjnego spisu urządzeń. XLab twierdzi, że Dysphoria niemal codziennie atakuje cele związane z usługami internetowymi i grami, ale nie wskazuje ofiar ani zmierzonych rekordów. Reklamy operatorów mówią o atakach do około 4 Tbps, jednak jest to deklaracja sprzedażowa, a nie niezależny pomiar. Dla porównania Cloudflare zmierzył wcześniej atak o przepustowości 31,4 Tbps przypisany powiązanemu botnetowi AISURU lub Kimwolf.

Znaczenie dla obrońców

NICT z Japonii niezależnie opisał w maju przejście od JackSkid do komunikacji opartej na ENS i SNS. Nokia, Comcast oraz NICT wskazywały także na współdzielenie kodu i ciągów znaków z innymi rodzinami botnetów. Może to świadczyć o użyciu wspólnych narzędzi, ale nie dowodzi istnienia jednego operatora. CNCERT, XLab i wcześniejsze analizy JackSkid nie wskazują osoby ani grupy odpowiedzialnej za działalność.

Według CNCERT i XLab Dysphoria rozprzestrzenia się przede wszystkim przez zgadywanie słabych haseł do usług Telnet i SSH oraz przez znane podatności umożliwiające zdalne wykonanie kodu w routerach, bramach i kamerach. Wśród wymienianych problemów znajduje się CVE-2025-9528 dotycząca urządzenia Linksys E1700. NVD ocenia tę podatność jako wymagającą wysokich uprawnień, a publikacje badaczy nie wyjaśniają, jak dokładnie jest ona wykorzystywana w łańcuchu propagacji. Zestawienia podatności w analizie XLab i kopii komunikatu CNCERT różnią się, natomiast oba źródła wskazują, że słabe dane uwierzytelniające Telnetu i SSH pozostają najbardziej stałym punktem wejścia.

Organizacje korzystające z urządzeń IoT powinny instalować dostępne aktualizacje, wymieniać sprzęt, którego nie można już zabezpieczyć, oraz usuwać domyślne i słabe hasła. Warto również wyłączyć zdalne zarządzanie i UPnP tam, gdzie nie są potrzebne, a także ograniczyć ekspozycję urządzeń na internet. Nowa architektura Dysphorii komplikuje klasyczne przejęcie serwera C2, lecz nie usuwa możliwości obrony. Monitorowanie nietypowej komunikacji, blokowanie niepotrzebnych usług i szybkie odcinanie zagrożonych urządzeń nadal mogą ograniczyć zasięg botnetu.