Dysphoria, una línea de botnet de Internet de las cosas (IoT) rastreada por CNCERT y XLab, adoptó un servicio de nombres basado en blockchain y una retransmisión de dispositivos infectados luego de una operación policial en marzo contra la infraestructura JackSkid. Los investigadores dicen que este diseño hace que la botnet sea difícil de destruir.
CNCERT, el Equipo Nacional de Respuesta a Emergencias Informáticas de China, y XLab, el laboratorio de inteligencia sobre amenazas de la empresa china Qi’anxin, estiman que la población supera los 200.000 robots. Su telemetría registró 4.401 dispositivos activos observados dentro de China entre el 14 y el 20 de julio, con un pico diario de 239.000 bots fuera del país.
Ninguno de los recuentos se ha reproducido de forma independiente. Los investigadores no publicaron su metodología de agregación o deduplicación, por lo que esta cifra no debe interpretarse como un estudio preciso del dispositivo.
Los defensores deben parchear los equipos de IoT expuestos, reemplazar los dispositivos que ya no se pueden actualizar, eliminar las credenciales predeterminadas o débiles y desactivar la administración remota innecesaria y UPnP.
Este linaje se extiende a través de JackSkid, una de las cuatro botnets de IoT atacadas por una coalición de agencias policiales de Estados Unidos, Alemania y Canadá el 19 de marzo. Los documentos judiciales dicen que solo JackSkid fue responsable de más de 90.000 comandos DDoS.
En cuestión de días, Nokia Deepfield y Comcast Threat Labs documentaron que los operadores estaban recurriendo al dominio m3rnbvs5d(.)eth del Ethereum Name Service (ENS) para comando y control (C2). La línea de tiempo de Dysphoria de XLab comienza con una muestra de JackSkid capturada el 25 de marzo, seis días después de la interrupción, y resuelve C2 a través del mismo dominio.
XLab descubrió que el registro burrberry(.)eth codifica la dirección IPv4 del nodo de distribución, mientras que 24carnforth2merseyside(.)sol proporciona otros registros de infraestructura. El ejemplo de DDoS solicita la lista de servidores actual del nodo de distribución a través de HTTP. Los puntos finales enumerados son máquinas infectadas que retransmiten el tráfico al controlador real. Este diseño mantiene a estos controladores a un paso de las direcciones expuestas a los bots.
Un análisis de XLab publicado el 25 de julio rastrea la rápida ejecución de una compilación con cifrado de cadena RC4 personalizado y resolución ENS a fines de abril, seguida de la resolución del Servicio de nombres Solana (SNS) a principios de mayo. Una variante de solo retransmisión apareció el 25 de junio y unos días después agregó mapeo de puertos basado en UPnP para atravesar puertas de enlace NAT.
La compilación de solo retransmisión elimina el módulo DDoS y en su lugar utiliza UPnP para asignar puertos en la puerta de enlace local y epoll de Linux para transportar el tráfico entre conexiones externas y servicios C2 remotos. A finales del año pasado, XLab documentó una botnet Kimwolf relacionada que utilizaba C2 basado en ENS. Dysphoria combina el mismo modelo de resolución con una red de retransmisiones construida a partir de sus propias víctimas.
Esta transición complica las incautaciones de servidores tradicionales, pero no elimina la infraestructura de la cadena. Las botnets todavía dependen de registros de blockchain, nodos de entrega accesibles y retransmisiones comprometidas.
El NICT de Japón documentó de forma independiente una migración similar de JackSkid a ENS/SNS en mayo y descubrió códigos y cadenas compartidos con varias otras familias de botnets, así como con Nokia y Comcast. Esta superposición apunta a una herramienta compartida más que a evidencia de un único operador, aunque ninguno de los investigadores nombró a ese operador.
Según XLab y CNCERT, la molestia se propaga a través de una débil adivinación de contraseñas Telnet y SSH y un conjunto de fallas conocidas de ejecución remota de código de IoT en enrutadores, puertas de enlace y cámaras. Un ejemplo incluido en ambas listas públicas es CVE-2025-9528, una falla de inyección de comando Linksys E1700 que se reveló en un exploit público en agosto de 2025.
El vendedor no respondió al informe inicial. CVSS Vectors de NVD califica esta falla como que requiere altos privilegios, y ninguna publicación explica cómo encaja esta falla en la cadena de propagación de una botnet.
Una comparación realizada por The Hacker News encontró que la publicación de XLab y la notificación CNCERT reflejada publicaron listas de vulnerabilidades diferentes a pesar de anunciar la misma colaboración. Ambos coinciden en que las credenciales débiles de Telnet y SSH siguen siendo el método de entrada más consistente.
XLab dijo que Dysphoria ataca los servicios y juegos de Internet casi a diario, pero no nombró a las víctimas ni el pico medido. Las tiendas de venta libre anuncian ataques de hasta aproximadamente 4 Tbps por decenas o cientos de dólares, pero se trata de una afirmación del operador y no de un ataque medido.
Cloudflare midió 31,4 Tbps de ataques de la botnet asociada AISURU/Kimwolf antes de la interrupción de marzo. CNCERT, XLab y la investigación inicial de JackSkid no nombran al operador. Fuentes independientes no han medido el pico de ataques de disforia ni han confirmado la escala informada de 200.000 dispositivos.
Source link
