La botnet de IoT Dysphoria ha evolucionado utilizando servicios de nombres basados en blockchain y relés de dispositivos infectados para evitar ser desactivada. Según investigadores chinos, podría afectar a más de 200,000 dispositivos, aunque estas cifras no han sido verificadas independientemente. Se recomienda actualizar los equipos IoT y eliminar credenciales débiles para prevenir estas infecciones.



Dysphoria, una línea de botnets de Internet de las Cosas (IoT) rastreada por CNCERT y XLab, ha adoptado servicios de nombres basados en blockchain y relés de dispositivos infectados tras una operación policial de marzo contra la infraestructura de JackSkid. Los investigadores afirman que este diseño hace que la botnet sea más difícil de interrumpir.

CNCERT, el equipo nacional de respuesta a emergencias informáticas de China, y XLab, el laboratorio de inteligencia de amenazas de la firma china Qi'anxin, situaron su población en más de 200,000 bots. Su telemetría registró 4,401 dispositivos activos confirmados dentro de China entre el 14 y el 20 de julio y un pico de un solo día de 239,000 bots en el extranjero.

Ninguno de los recuentos ha sido reproducido de forma independiente. Los investigadores no publicaron ninguna metodología de conteo o deduplicación, por lo que los números no deben leerse como un censo preciso de dispositivos.

Debes parchear tus equipos IoT expuestos, reemplazar los dispositivos que ya no pueden actualizarse, eliminar las credenciales predeterminadas y débiles, y desactivar la gestión remota y UPnP donde no sean necesarios.

El linaje pasa por JackSkid, una de las cuatro botnets de IoT objetivo en acciones coordinadas de las fuerzas del orden de EE. UU., Alemania y Canadá el 19 de marzo. Los documentos judiciales atribuyeron más de 90,000 comandos DDoS solo a JackSkid.

Dentro de unos días, Nokia Deepfield y el laboratorio de amenazas de Comcast documentaron que el operador recurrió a un dominio del Servicio de Nombres de Ethereum (ENS), m3rnbvs5d[.]eth, para el comando y control (C2). La cronología de Dysphoria de XLab comienza con una muestra de JackSkid capturada el 25 de marzo, seis días después de la interrupción, que resuelve el C2 a través del mismo dominio.

XLab descubrió que el registro burrberry[.]eth codifica direcciones IPv4 de nodos de distribución, mientras que 24carnforth2merseyside[.]sol suministra otros registros de infraestructura. La muestra de DDoS solicita a un nodo de distribución a través de HTTP una lista de servidores actual, y los puntos finales enumerados son máquinas infectadas que retransmiten el tráfico a los controladores reales. El diseño mantiene a esos controladores un paso alejados de las direcciones expuestas a los bots.

El análisis de XLab, publicado el 25 de julio, rastrea una rápida sucesión de compilaciones: cifrado de cadenas RC4 personalizado y resolución ENS a finales de abril, seguida de la resolución del Servicio de Nombres de Solana (SNS) a principios de mayo. Una variante de solo relé apareció el 25 de junio, con un mapeo de puertos basado en UPnP añadido días después para atravesar las puertas de enlace NAT.

La compilación de solo relé elimina los módulos DDoS y, en su lugar, utiliza UPnP para mapear puertos en la puerta de enlace local y epoll de Linux para trasladar el tráfico entre una conexión externa y un servicio C2 remoto. XLab documentó la botnet Kimwolf relacionada que utilizaba C2 basado en ENS a finales del año pasado. Dysphoria combina el mismo modelo de resolución con una malla de relés construida a partir de sus propias víctimas.

Este cambio complica la incautación convencional de servidores, pero no elimina la infraestructura de la cadena: la botnet sigue dependiendo de registros de blockchain, nodos de distribución accesibles y relés comprometidos.

El NICT de Japón documentó independientemente el mismo cambio de JackSkid a ENS/SNS en mayo y, al igual que Nokia y Comcast, encontró código y cadenas compartidas con varias otras familias de botnets. Ese solapamiento apunta a herramientas compartidas más que a la prueba de un único operador, y ninguno de los investigadores ha nombrado a ninguno.

XLab y CNCERT afirman que Dysphoria se propaga a través de ataques de adivinación de contraseñas débiles en Telnet y SSH y un conjunto de fallos conocidos de ejecución remota de código de IoT en routers, puertas de enlace y cámaras. Un ejemplo presente en ambas listas publicadas es el CVE-2025-9528 (un fallo de inyección de comandos de Linksys E1700) revelados en agosto de 2025 con un exploit público.

El proveedor no respondió al informe original. El vector CVSS de NVD califica el fallo como uno que requiere privilegios altos, y ninguna publicación explica cómo encaja en la cadena de propagación de la botnet.

Una comparación encontró que la publicación de XLab y un aviso espejo de CNCERT publican listas de vulnerabilidades diferentes a pesar de presentar la misma investigación conjunta. Ambos coinciden en que las credenciales débiles de Telnet y SSH siguen siendo la forma de entrada más consistente.

XLab afirma que Dysphoria ataca objetivos de servicios de internet y juegos casi a diario, pero no nombra víctimas ni picos medidos. La tienda anuncia ataques de hasta unos 4 Tbps por decenas o cientos de dólares, pero eso es una afirmación del operador, no un ataque medido.

Cloudflare midió un ataque de 31.4 Tbps de la botnet relacionada AISURU/Kimwolf antes de la interrupción de marzo. CNCERT, XLab y la investigación anterior de JackSkid no nombran a ningún operador. Ninguna fuente independiente ha medido un pico de ataque de Dysphoria ni ha confirmado la escala reportada de 200,000 dispositivos.

Fuente:
THN