Аналитики из QiAnXin XLab и китайского центра CNCERT рассказали о новом IoT-ботнете Dysphoria, который уже насчитывает порядка 200 000 зараженных устройств. Для управления инфраструктурой ботнета операторы используют домены Ethereum ENS и Solana SNS, а реальные адреса управляющих серверов скрывают за сетью прокси, которая тоже состоит из скомпрометированных девайсов.
По данным исследователей, Dysphoria строится на базе малвари JackSkid и fbot, добавив к этим вредоносам новую блокчейн-функциональность. Впервые новый вредонос был замечен еще 25 марта 2026 года — через шесть дней после совместной операции правоохранительных органов США, Германии и Канады, направленной против инфраструктуры JackSkid и еще трех IoT-ботнетов.
После блокировки прежней инфраструктуры малварь стала получать адреса управляющих серверов через Ethereum Name Service (ENS), а в начале мая разработчики оснастили ботнет поддержкой Solana Name Service (SNS). Так, записи в блокчейнах содержат адреса промежуточных узлов, у которых зараженные устройства запрашивают актуальный список серверов.
Исследователи объясняют, что при этом боты подключаются не напрямую к управляющим серверам, а к другим скомпрометированным устройствам, которые ретранслируют трафик. Адреса реальной управляющей инфраструктуры дополнительно маскируются под IPv6-строки и восстанавливаются с помощью кастомного алгоритма преобразования байтов. В результате это усложняет поиск и блокировку управляющих серверов, хотя инфраструктура злоумышленников не становится полностью автономной: Dysphoria по-прежнему зависит от записей ENS и SNS, доступных узлов распространения и зараженных прокси.
Кроме того, в конце июня исследователи выявили отдельную версию малвари, из которой полностью убрали все функции для проведения DDoS-атак. Вместо этого вредонос превращает зараженный девайс в сетевой прокси. Он использует UPnP для создания 155 правил проброса портов на локальном шлюзе, а также применяет epoll для передачи трафика между внешними подключениями и удаленными C2.
Основными векторами распространения Dysphoria являются слабые пароли для Telnet и SSH, а также известные RCE-уязвимости в роутерах, камерах, шлюзах и других IoT-девайсах. Например, в отчетах QiAnXin XLab и CNCERT упоминаются такие проблемы, как CVE-2025-9528 в Linksys E1700, CVE-2025-28137 в устройствах Totolink, CVE-2017-17215 в оборудовании Huawei и CVE-2020-8515 в продуктах DrayTek.
При этом списки эксплуатируемых багов отличаются в версиях QiAnXin XLab и CNCERT, и исследователи не объясняют роль некоторых уязвимостей в цепочке заражения.
С 14 по 20 июля специалисты выявили 4401 зараженное устройство в Китае. При этом максимальное число подключений из-за рубежа за один день составило 239 000, а число heartbeat-запросов достигало 740 000.
На основании этой телеметрии исследователи считают, что сейчас размер ботнета составляет примерно 200 000 устройств, и он способен проводить DDoS-атаки мощностью до 4 Тбит/с. При этом операторы малвари рекламируют ее как легальный стрессер-сервис.
