Das Dysphoria-Botnetz wurde seit dem ersten Quartal 2026 von Forschern von XLab und CNCERT identifiziert stellt eine wachsende Bedrohung dar. Bei einer Flotte von mehr als 200.000 kompromittierten Geräten weltweit, hauptsächlich vernetzten Objekten (IoT), hat sich die Malware innerhalb weniger Monate rasant weiterentwickelt.

Blockchain, um sich schwer fassbar zu machen

Dysphoria ist ein innovativer Mechanismus zum Verstecken von Befehls- und Kontrollservern. Anstatt sich auf herkömmliche IP-Adressen oder Domänen zu verlassen, nutzt das Botnetz Blockchain-basierte Benennungsdienste.

Um Informationen über seine Infrastruktur abzurufen, ist es insbesondere auf den Ethereum Name Service (ENS) und den Solana Name Service (SNS) angewiesen, was den Abbau deutlich komplexer macht.

Die Malware fragt Domains wie ab burrberry.eth um eine Liste der Verteilungsknoten zu erhalten. Diese Informationen, die oft in gefälschten IPv6-Adressen verborgen sind, werden dann über einen benutzerdefinierten Algorithmus entschlüsselt, um die echten IP-Adressen preiszugeben.

Diese Methode gewährleistet in Verbindung mit der modifizierten RC4-Verschlüsselung zum Schutz der Zeichenfolgen ein hohes Maß an Tarnung.

Eine doppelte Bedrohung für die Opfer

Die Hauptaktivität von Dysphoria besteht darin, DDoS-Angriffe (Distributed Denial of Service) zu starten.). Die Botnet-Betreiber geben auf ihrer Website eine Schreibkapazität von 4 Tbit/s an, was ausreicht, um große Online-Dienste ernsthaft zu stören. Angriffsbefehle sind so strukturiert, dass sie die Dauer, die Art des Angriffs und die Ziele angeben.

Eine Ende Juni beobachtete Entwicklung enthüllte eine zweite Funktion. Es wurde eine Variante der Schadsoftware entdeckt, die keinerlei Angriffsmöglichkeiten aufweist. Seine einzige Aufgabe besteht darin, das infizierte Gerät in einen Relay-Knoten oder Proxy zu verwandeln.

Durch die Verwendung des UPnP-Protokolls zum automatischen Öffnen von Ports am Router eines Opfers verwandelt die Malware Tausende von Heimgeräten in eine versteckte Befehls- und Kontrollinfrastruktur.

Klassiker zur Verbreitung von Malware

Die Ausbreitung der Dysphorie erfolgt über bewährte Methoden. Das Botnetz zielt auf verbundene Objekte ab, indem es schwache Passwörter durch Brute-Force-Angriffe auf Telnet- und SSH-Dienste ausnutzt.

Die Forscher betonen, dass diese Methode durch die Ausnutzung einer Reihe bekannter, sowohl alter als auch neuerer Schwachstellen ergänzt wird, um ihre Reichweite zu maximieren.