disforiauna línea de botnet de Internet de las cosas (IoT) rastreada por CNCERT y XLab, adoptó servicios de nombres basados en blockchain y retransmisiones de dispositivos infectados después de una operación policial en marzo contra la infraestructura JackSkid. Los investigadores dicen que el diseño hace que la botnet sea más difícil de interrumpir.
CNCERT, el equipo nacional de respuesta a emergencias informáticas de China, y XLab, el laboratorio de inteligencia sobre amenazas de la empresa china Qi’anxin, sitúan su población por encima de los 200.000 robots. Su telemetría registró 4.401 dispositivos activos confirmados dentro de China entre el 14 y el 20 de julio y un pico en un solo día de 239.000 bots en el extranjero.
Ninguno de los recuentos ha sido reproducido de forma independiente. Los investigadores no publicaron ninguna metodología de conteo o deduplicación, por lo que los números no deben leerse como un censo preciso de dispositivos.
Los defensores deben parchear los equipos de IoT expuestos, reemplazar los dispositivos que ya no se pueden actualizar, eliminar las credenciales débiles y predeterminadas y deshabilitar la administración remota y UPnP cuando no sean necesarios.
El linaje corre a través de JackSkid, una de las cuatro botnets de IoT atacadas en acciones policiales coordinadas de Estados Unidos, Alemania y Canadá el 19 de marzo. Los documentos judiciales atribuyeron más de 90.000 comandos DDoS sólo a JackSkid.
En cuestión de días, Nokia Deepfield y el laboratorio de amenazas de Comcast documentaron que el operador recurría a un dominio de Ethereum Name Service (ENS), m3rnbvs5d(.)eth, para comando y control (C2). La línea de tiempo de Dysphoria de XLab comienza con una muestra de JackSkid capturada el 25 de marzo, seis días después de la interrupción, que resuelve C2 a través del mismo dominio.
XLab descubrió que el registro burrberry(.)eth codifica direcciones IPv4 de nodos de distribución, mientras que 24carnforth2merseyside(.)sol proporciona otros registros de infraestructura. El ejemplo de DDoS solicita a un nodo de distribución a través de HTTP una lista de servidores actual, y los puntos finales enumerados son máquinas infectadas que transmiten tráfico a los controladores reales. El diseño mantiene esos controladores a un paso de las direcciones expuestas a los bots.
El análisis de XLab, publicado el 25 de julio, rastrea una rápida serie de compilaciones: cifrado de cadena RC4 personalizado y resolución ENS a fines de abril, seguido de la resolución del Servicio de nombres Solana (SNS) a principios de mayo. El 25 de junio apareció una variante de solo retransmisión, y días después se agregó un mapeo de puertos basado en UPnP para atravesar puertas de enlace NAT.
La compilación de solo retransmisión elimina los módulos DDoS y en su lugar utiliza UPnP para asignar puertos en la puerta de enlace local y epoll de Linux para transportar el tráfico entre una conexión externa y un servicio C2 remoto. XLab documentó la botnet Kimwolf relacionada utilizando C2 basado en ENS a finales del año pasado. Dysforia combina el mismo modelo de resolución con una red de retransmisiones construida a partir de sus propias víctimas.
El cambio complica la incautación de un servidor convencional, pero no elimina la infraestructura de la cadena: la botnet todavía depende de los registros de la cadena de bloques, los nodos de distribución accesibles y los repetidores comprometidos.
El NICT de Japón documentó de forma independiente el mismo cambio de JackSkid a ENS/SNS en mayo y, al igual que Nokia y Comcast, encontró códigos y cadenas compartidos con varias otras familias de botnets. Esa superposición apunta a herramientas compartidas en lugar de prueba de un solo operador, y ninguno de los investigadores nombra uno.
XLab y CNCERT dicen que Dysphoria se propaga a través de la adivinación de contraseñas débiles de Telnet y SSH y un conjunto de fallas conocidas de ejecución remota de código de IoT en enrutadores, puertas de enlace y cámaras. Un ejemplo presente en ambas listas publicadas es CVE-2025-9528, una falla de inyección de comandos Linksys E1700 revelada en agosto de 2025 con un exploit público.
El vendedor no respondió al informe original. El vector CVSS de NVD califica la falla como que requiere altos privilegios, y ninguna publicación explica cómo encaja en la cadena de propagación de la botnet.
Una comparación realizada por The Hacker News encontró que la publicación de XLab y un aviso reflejado de CNCERT publican diferentes listas de vulnerabilidades a pesar de presentar la misma investigación conjunta. Ambos coinciden en que las credenciales débiles de Telnet y SSH siguen siendo la forma más consistente de ingresar.
XLab dice que Dysphoria ataca objetivos de juegos y servicios de Internet casi a diario, pero no menciona víctimas ni picos medidos. El escaparate anuncia ataques de hasta aproximadamente 4 Tbps por decenas a cientos de dólares, pero eso es una afirmación del operador, no un ataque medido.
Cloudflare midió un ataque de 31,4 Tbps de la botnet relacionada AISURU/Kimwolf antes de la interrupción de marzo. CNCERT, XLab y la investigación anterior de JackSkid no nombran ningún operador. Ninguna fuente independiente ha medido un pico de ataque de disforia ni ha confirmado la escala informada de 200.000 dispositivos.
