Específicamente, la botnet utiliza dominios Ethereum ENS y Solana SNS para recuperar información de la infraestructura, mientras que las direcciones C2 están ocultas dentro de cadenas IPv6 falsas y se recuperan mediante un algoritmo de transformación de bytes personalizado.

Los investigadores detectaron Dysphoria por primera vez el 25 de marzo e identificaron múltiples iteraciones que añadieron actualizaciones significativas, como un algoritmo de adquisición de C2, soporte multi-cadena, nuevos dominios y una separación funcional entre las variantes de retransmisión y DDoS.

“Desde el primer trimestre de 2026, XLAB ha rastreado continuamente una familia de botnets emergente llamada Dysphoria, cuyo recuento de bots supera los 200.000”, dice el informe de XLab.

“En solo unos pocos meses, la familia ha experimentado frecuentes actualizaciones de variantes e iteraciones técnicas, demostrando una resiliencia extremadamente fuerte”.

El uso de blockchain en las operaciones de C2 hace que la infraestructura general sea más difícil de rastrear y desmantelar.

Basándose en el análisis de los investigadores, los clientes infectados envían un paquete de inicio de sesión y latido (heartbeat) fijo de 78 bytes al C2 y reciben del operador comandos de ataque DDoS que incluyen duración, tipo, objetivos y banderas configurables.




A finales de junio, XLab observó una variante que se centraba únicamente en transformar los dispositivos infectados en proxies de red, descartando completamente la funcionalidad de DDoS.

El malware abusa de UPnP (Universal Plug and Play) en el dispositivo comprometido para crear 155 reglas de redireccionamiento de puertos y exponer los servicios internos a las conexiones entrantes de Internet.

El informe de XLab señala que la botnet se propaga a través de credenciales débiles de Telnet y SSH y vulnerabilidades conocidas en routers, cámaras y diversos dispositivos IoT.

Entre los fallos más recientes explotados se encuentran CVE-2025-55182 (“React2Shell”), CVE-2025-34152, CVE-2025-28137 (Totolink) y CVE-2025-9528 (Linksys). Sin embargo, Dysphoria también apunta a debilidades más antiguas que aún persisten en muchos dispositivos, como CVE-2017-17215 (Huawei) y CVE-2020-8515 (DrayTek).

XLab monitoreó la botnet entre el 14 y el 20 de julio y registró un pico de 740.000 pings diarios de hosts infectados, 239.000 conexiones de clientes extranjeros y 1.800 de China.

Los investigadores estiman con confianza que el número de dispositivos infectados es de alrededor de 200.000 en este momento.

En cuanto a la potencia de fuego de la botnet, sus operadores afirman tener una capacidad máxima de DDoS de 4 Tbps en su sitio de clearnet, que promociona el servicio como un probador de estrés legítimo.