Un botnet denominado Dysphoria ha infectado aproximadamente 200,000 dispositivos en todo el mundo, utilizándolos para ataques de denegación de servicio distribuido (DDoS) y operaciones de retransmisión de tráfico. Según investigadores de ciberseguridad de QiAnXin XLab, Dysphoria evolucionó a partir de los malware 'jackskid' y 'fbot', añadiendo un mecanismo de resolución de comando y control (C2) basado en blockchain. El botnet emplea dominios Ethereum ENS y Solana SNS para obtener información de infraestructura, mientras que las direcciones C2 se ocultan en cadenas IPv6 falsas y se recuperan mediante un algoritmo personalizado de transformación de bytes.
Los investigadores detectaron Dysphoria por primera vez el 25 de marzo e identificaron múltiples iteraciones que incluían actualizaciones significativas, como un algoritmo de adquisición de C2, soporte para múltiples cadenas, nuevos dominios y separación funcional entre las variantes de retransmisión y DDoS. "Desde el primer trimestre de 2026, XLAB ha rastreado continuamente una familia emergente de botnets llamada Dysphoria, cuyo recuento de bots supera los 200,000", señala el informe de XLab.
El uso de blockchain en las operaciones de C2 dificulta el rastreo y desmantelamiento de la infraestructura. Según el análisis, los clientes infectados envían un paquete fijo de 78 bytes de inicio de sesión y latido al C2, y reciben del operador comandos de ataque DDoS que incluyen duración, tipo, objetivos y banderas configurables. A finales de junio, XLab observó una variante que se centraba únicamente en transformar los dispositivos infectados en proxies de red, eliminando por completo la funcionalidad DDoS.
El malware abusa de UPnP (Universal Plug and Play) en el dispositivo comprometido para crear 155 reglas de reenvío de puertos, exponiendo servicios internos a conexiones entrantes de internet. El informe de XLab señala que el botnet se propaga mediante credenciales débiles de Telnet y SSH, así como vulnerabilidades conocidas en routers, cámaras y varios dispositivos IoT. Entre las fallas más recientes explotadas se encuentran CVE-2025-55182 ("React2Shell"), CVE-2025-34152, CVE-2025-28137 (Totolink) y CVE-2025-9528 (Linksys). Sin embargo, Dysphoria también ataca vulnerabilidades antiguas que aún persisten en muchos dispositivos, como CVE-2017-17215 (Huawei) y CVE-2020-8515 (DrayTek).
XLab monitoreó el botnet entre el 14 y el 20 de julio, registrando un pico de 740,000 pings diarios desde hosts infectados, 239,000 conexiones desde clientes en el extranjero y 1,800 desde China. Los investigadores estiman con confianza que el número de dispositivos infectados ronda los 200,000 en la actualidad. En cuanto a la potencia de fuego del botnet, sus operadores afirman una capacidad máxima de DDoS de 4 Tbps en su sitio en clearnet, que promociona el servicio como un probador de estrés legítimo. Aunque es significativamente menor que el récord actual de 31.4 Tbps alcanzado por el botnet Aisuru/Kimwolf en diciembre de 2025, sigue siendo suficiente para causar interrupciones notables.
Para protegerse contra infecciones de botnet, los usuarios deben mantener el firmware de sus dispositivos actualizado, cambiar la contraseña de administrador predeterminada, deshabilitar el acceso remoto si no es necesario y fortalecer las configuraciones de seguridad donde sea posible.
.jpg)
Deja una respuesta