Dysphoria trasforma 200.000 dispositivi IoT in una botnet DDoS

🛡️ Executive Summary

• Dysphoria controlla una rete stimata in oltre 200.000 dispositivi e colpisce router, gateway, telecamere e sistemi Linux embedded.
• La botnet usa domini ENS e SNS per distribuire infrastruttura C2 dinamica e nascondere gli indirizzi reali dietro nodi compromessi.
• Una variante converte le vittime in relay tramite UPnP, mentre il servizio DDoS viene pubblicizzato con capacità dichiarate fino a 4 Tbps.

Dysphoria è una botnet IoT emergente che in pochi mesi ha trasformato oltre 200.000 dispositivi compromessi in un’infrastruttura destinata ad attacchi DDoS, proxy clandestini e relay per il comando e controllo. La famiglia nasce dall’evoluzione di codice riconducibile a JackSkid e a varianti di fbot, ma introduce un’architettura più resiliente basata su domini blockchain ENS ed SNS, nodi intermedi dinamici e vittime utilizzate come proxy. Router, gateway, telecamere e altri sistemi Linux embedded vengono colpiti attraverso password deboli Telnet e SSH e vulnerabilità note, mentre gli operatori pubblicizzano una capacità teorica fino a 4 Tbps.

Dysphoria evolve rapidamente da JackSkid e fbot

Le prime tracce della famiglia risalgono al primo trimestre del 2026, quando i ricercatori hanno individuato campioni apparentemente collegati a JackSkid, botnet già conosciuta per il riutilizzo di tecniche provenienti dall’ecosistema Mirai e AISURU. Un campione osservato a marzo utilizzava il dominio ENS m3rnbvs5d.eth e mostrava la stringa diagnostica android has no compatible libc library, mentre una variante rilevata all’inizio di aprile adottava componenti derivati da fbot e stampava il messaggio hail china mainland. Tra la fine di aprile e maggio gli sviluppatori hanno modificato ripetutamente l’algoritmo di cifratura delle stringhe, il protocollo di comunicazione e il sistema con cui il malware individua l’infrastruttura di comando. La velocità delle modifiche indica che Dysphoria non è un fork abbandonato o una semplice ricompilazione di codice pubblico, ma una famiglia mantenuta attivamente e sottoposta a iterazioni operative. Il percorso ricorda la crescita di TuxBot v3 Evolution, botnet IoT multi-architettura capace di aggiornare continuamente moduli e vettori, ma Dysphoria concentra una parte rilevante dell’innovazione sulla resilienza dell’infrastruttura e sulla trasformazione dei dispositivi infetti in nodi intermedi.

Un RC4 modificato protegge stringhe e configurazioni

Le varianti DDoS utilizzano un algoritmo derivato da RC4, ma alterato attraverso passaggi aggiuntivi progettati per rendere meno immediata l’estrazione delle stringhe. Dopo una prima fase di inizializzazione della S-box, il malware applica più cicli di mescolamento basati su un generatore lineare congruenziale, quindi introduce durante la generazione del flusso un registro a scorrimento con retroazione lineare e ulteriori scambi di valori. Alcune versioni precedenti condividevano elementi crittografici con AISURU, mentre le build successive hanno modificato chiavi, costanti e struttura interna. L’obiettivo non è costruire un sistema crittografico formalmente sicuro, ma ostacolare firme statiche, analisi automatizzate e strumenti progettati per estrarre rapidamente domini, indirizzi IP e comandi dai binari. Entrambe le principali varianti modificate osservate alterano inoltre il nome del processo per apparire come libdalvikengine.so, tentando di confondersi tra componenti di sistema o librerie legate all’ambiente Android. La stessa pressione verso loader e configurazioni più difficili da interpretare è emersa nella botnet RustDuck, capace di separare furto di informazioni e funzioni DDoS, segnale di una progressiva specializzazione del malware destinato ai dispositivi embedded.

ENS e SNS distribuiscono gli indirizzi del comando e controllo

La caratteristica più distintiva di Dysphoria è l’uso combinato di Ethereum Name Service e Solana Name Service per recuperare informazioni sull’infrastruttura. Il malware interroga record associati a domini come burrberry.eth, ukranianhorseriding.eth e 24carnforth2merseyside.sol, ottenendo dati nascosti all’interno di record TXT o campi personalizzati. Gli indirizzi reali non vengono restituiti direttamente: i record possono contenere falsi indirizzi IPv6 dai quali il malware estrae quattro byte, successivamente trasformati attraverso una funzione proprietaria per ricostruire il vero IPv4. Questa tecnica permette agli operatori di cambiare nodi e destinazioni aggiornando un record blockchain invece di distribuire una nuova versione del malware. La decentralizzazione non rende il sistema impossibile da interrompere, ma complica sequestro, sinkhole e rimozione coordinata, perché il punto di riferimento non dipende da un normale dominio DNS controllato da un singolo registrar. Il modello sviluppa la stessa idea osservata con Aeternum, botnet che utilizzava smart contract Polygon come livello di comando e controllo: la blockchain non ospita necessariamente il payload o l’intero C2, ma fornisce un meccanismo resistente per pubblicare indirizzi aggiornati.

I veri C2 vengono nascosti dietro altri dispositivi infetti

Dalla fine di giugno, Dysphoria ha introdotto un’architettura ibrida nella quale il campione DDoS non contatta necessariamente il server finale. Il malware risolve prima il record node del dominio burrberry.eth, ricava un insieme di nodi distributori e interroga un endpoint HTTP come /nodes?key=meowmeowmeow.

La risposta contiene una lista di indirizzi che vengono usati per le comunicazioni operative, ma le analisi mostrano che molti di questi sistemi non sono server controllati direttamente dagli attaccanti: sono dispositivi già compromessi e trasformati in relay. La topologia crea diversi livelli di separazione tra bot e backend, impedendo alla difesa di identificare facilmente il nodo centrale attraverso la semplice osservazione del traffico. Quando un relay viene rimosso, l’operatore può sostituirlo aggiornando la lista distribuita dalla rete. Questo approccio riduce inoltre l’esposizione dell’infrastruttura primaria e permette di far apparire le connessioni come traffico proveniente da router residenziali, dispositivi consumer o sistemi situati in Paesi differenti.

UPnP apre 155 porte e converte la vittima in proxy

Una variante individuata il 25 giugno 2026 ha eliminato completamente le funzioni DDoS e svolge esclusivamente il ruolo di relay o proxy. Dopo l’infezione, il malware cerca nella rete locale un gateway compatibile con UPnP e richiede automaticamente la creazione di 155 mappature di porta. Il dispositivo compromesso inizia quindi ad ascoltare sulle porte configurate e, quando riceve una connessione esterna, apre un collegamento verso il server remoto sulla stessa porta. Il traffico viene trasferito in entrambe le direzioni attraverso I/O non bloccante basato su epoll, trasformando il sistema in un tunnel trasparente. Il relay invia inoltre aggiornamenti periodici sul proprio stato, includendo disponibilità, numero delle connessioni e banda utilizzata. L’abuso di UPnP permette di raggiungere dall’esterno dispositivi normalmente protetti dal NAT senza richiedere una modifica manuale al router. Dysphoria non usa quindi le vittime soltanto come sorgenti di traffico DDoS: costruisce una rete proxy residenziale o IoT capace di nascondere comandi, scansioni e attività successive. La tecnica si inserisce nello stesso mercato criminale delle reti residential proxy alimentate da botnet e dispositivi inconsapevoli, ma aggiunge una forte automazione nella configurazione dell’inoltro delle porte.

Password deboli e vecchie RCE alimentano la propagazione

La diffusione avviene principalmente attraverso tentativi automatici contro credenziali Telnet e SSH, affiancati dallo sfruttamento di vulnerabilità note nei dispositivi IoT. La lista osservata comprende falle molto vecchie, come CVE-2017-17215 e CVE-2020-8515, insieme a vulnerabilità pubblicate più recentemente. Questa combinazione conferma che una parte rilevante dell’ecosistema embedded rimane compromettibile per anni: router, telecamere e gateway continuano a essere utilizzati anche dopo la fine del supporto, con password predefinite, servizi amministrativi esposti e firmware mai aggiornato. Dysphoria utilizza quindi un portafoglio di exploit ampio per coprire produttori e modelli differenti, ma conserva il brute force come vettore più stabile e universale. La logica è simile a quella della botnet XlabsV1 basata su Mirai e ADB per vendere attacchi DDoS: la sofisticazione del C2 può aumentare rapidamente, mentre l’accesso iniziale continua spesso a dipendere da errori elementari e dispositivi mai corretti.

La rete supera 200.000 bot e viene venduta come servizio DDoS

Il monitoraggio condotto tra il 14 e il 20 luglio 2026 ha individuato oltre 4.400 dispositivi attivi in Cina, con un massimo giornaliero di circa 1.800 sistemi e fino a 740.000 accessi quotidiani all’infrastruttura C2. La rete internazionale appare molto più ampia: il numero massimo di bot esteri osservati in una singola giornata ha raggiunto circa 239.000 dispositivi, valore coerente con schermate del pannello di controllo che indicano una disponibilità stabile intorno alle 200.000 unità.

Gli operatori pubblicizzano pacchetti DDoS acquistabili per periodi e capacità differenti, con prezzi compresi tra alcune decine e alcune centinaia di dollari, e dichiarano una potenza massima di circa 4 Tbps. Questa cifra deriva dal materiale promozionale e non rappresenta una misurazione indipendente, ma la quantità di dispositivi rilevati rende credibile una capacità di attacco significativa. I comandi osservati superano gli 800 al giorno e colpiscono bersagli distribuiti globalmente, soprattutto nei settori gaming e servizi Internet. La commercializzazione trasforma Dysphoria da strumento privato in una piattaforma DDoS-for-hire, accessibile anche a clienti privi delle competenze necessarie per costruire una botnet.

I tre report descrivono fasi della stessa evoluzione

L’analisi del NICTER giapponese sui campioni JackSkid e sull’uso congiunto di ENS e SNS documenta la fase iniziale osservata tra febbraio e maggio, mostrando le somiglianze crittografiche con AISURU, il cambiamento delle stringhe e il ritmo superiore a 800 comandi DDoS giornalieri. La successiva ricerca congiunta di CNCERT e Qianxin XLab su Dysphoria ricostruisce invece il passaggio dalle varianti JackSkid e fbot alla struttura attuale, introducendo il nome della famiglia, le funzioni relay, la propagazione, le dimensioni della rete e l’uso di vittime come C2 intermedi. L’allerta del CNCERT sulla diffusione su larga scala conferma infine la rilevanza operativa della minaccia e la necessità di intervenire sui dispositivi vulnerabili.

Le fonti non descrivono quindi tre botnet completamente indipendenti: rappresentano momenti differenti nell’osservazione di una famiglia in rapida evoluzione, con nomenclature influenzate dai campioni e dalle sovrapposizioni tecniche disponibili in ciascuna fase.

Bloccare Dysphoria richiede interventi su router e gateway

La difesa deve concentrarsi innanzitutto sui dispositivi che possono essere infettati o trasformati in relay. Le organizzazioni devono disabilitare Telnet, limitare SSH alle reti amministrative, sostituire credenziali predefinite, aggiornare firmware e rimuovere i prodotti non più supportati. UPnP dovrebbe essere disattivato nei gateway dove non è indispensabile, soprattutto quando consente a dispositivi interni di creare automaticamente decine o centinaia di regole di port forwarding. Il monitoraggio deve individuare richieste verso domini ENS e SNS non previsti, connessioni periodiche a servizi di heartbeat, processi mascherati come libdalvikengine.so, ascolto simultaneo su molte porte e traffico HTTP verso endpoint /nodes. Bloccare singoli IP può interrompere temporaneamente una parte delle comunicazioni, ma la combinazione tra record blockchain, nodi distributori e relay compromessi permette alla rete di sostituire rapidamente le destinazioni. Dysphoria mostra così la nuova forma delle botnet IoT: non più soltanto eserciti per generare traffico, ma infrastrutture distribuite capaci di offrire DDoS, proxy e comando e controllo attraverso gli stessi dispositivi vulnerabili.