Ein sich schnell entwickelndes Botnetz namens Dysphoria hat weltweit rund 200.000 Geräte infiziert und Blockchain-Domainnamen übernommen, um seine Command-and-Control-Infrastruktur zu verschleiern, wodurch es für Verteidiger deutlich schwerer wird, es zu stören. Forscher von QiAnXin XLab, die gemeinsam mit Chinas nationalem Computer-Notfallteam CNCERT arbeiteten, machten die Bedrohung Ende Juli 2026 öffentlich, nachdem sie ihre technische Entwicklung seit März verfolgt hatten.

Dysphorias Nutzung von Ethereum- und Solana-Blockchain-Domains zur Speicherung von Command-Infrastruktur markiert eine deutliche Eskalation darin, wie Malware-Betreiber herkömmliche Abschaltmethoden umgehen können. Statt auf fest kodierte IP-Adressen oder konventionelle Domainnamen zu setzen, die Registrare oder Hosting-Anbieter beschlagnahmen können, fragt das Botnetz blockchainbasierte Namensdienste ab, um Command-Details aus dezentralen Datensätzen abzurufen.

Das Botnetz ging aus früheren Malware-Familien hervor, die als jackskid und fbot bekannt sind. Dysphoria tauchte innerhalb weniger Tage nach einer koordinierten US-, deutschen und kanadischen Strafverfolgungsaktion auf, die die JackSkid-Infrastruktur am 19. März störte. Innerhalb von sechs Tagen erfassten Forscher eine Dysphoria-Probe, die mit der Ethereum-Name-Service-Domain m3rnbvs5d.eth verknüpft war, was darauf hindeutet, dass die Betreiber bereits auf blockchainbasierte Command-Auflösung umgestiegen waren.

Wie Blockchain-Domains Command-Server verbergen

Das Botnetz fragt ENS-Domains wie burrberry.eth und ukranianhorseriding.eth sowie die Solana-Domain 24carnforth2merseyside.sol ab, um Details zur Command-Infrastruktur aus TXT-Records zu ziehen. Die tatsächlichen Adressen der Command-Server werden nicht als klare IP-Adressen gespeichert. Stattdessen erscheinen sie als gefälschte IPv6-Zeichenketten, und die echten Ziele werden mit einer benutzerdefinierten Byte-Transformationsfunktion extrahiert.

Eine von Forschern analysierte Beispielzeichenkette, 12e7:13d7, wird nach Anwendung der Entschlüsselungsroutine in die IPv4-Adresse 144.31.38.215 aufgelöst. Für einen flüchtigen Betrachter sieht der Blockchain-Eintrag eher wie ein inaktiver IPv6-Record als wie ein aktiver Command-Endpunkt aus. Diese Verschleierung hält die Serveradressen der Angreifer vor einer grundlegenden Netzwerkprüfung verborgen.

Blockchain-Name-Register liegen zudem außerhalb herkömmlicher Abschaltungsprozesse. Ein Verteidiger, der diese Infrastruktur stören will, hat keinen Registrar oder Hosting-Anbieter, an den er sich wenden kann, anders als bei einer normalen Domain-Beschlagnahme. Da Blockchain-Records verteilt sind, gibt es keine zentrale Instanz, die Einträge widerrufen oder umleiten könnte.

Schnelle technische Iteration und String-Verschlüsselung

Seit dem ersten Auftreten im März 2026 hat Dysphoria in nur vier Monaten häufige Veränderungen durchlaufen. Am 25. März gab die ursprüngliche mit m3rnbvs5d.eth verknüpfte jackskid-Variante einen Debug-String aus, der lautete: „android has no compatible libc library.“ Am 1. April beobachteten Forscher eine fbot-Variante, die zur Laufzeit „hail china mainland“ ausgab, was auf einen verwandten, aber eigenständigen Strang innerhalb desselben Ökosystems hindeutet.

Ende April kam neben der blockchainbasierten C2-Abruflogik ein benutzerdefiniertes RC4-basiertes String-Verschlüsselungsschema hinzu. Der modifizierte RC4-Algorithmus fügt zwei zusätzliche Phasen über die standardmäßige RC4-Initialisierung hinaus hinzu. Ein Linear Congruential Generator mischt die S-Box fünfmal, und ein Linear Feedback Shift Register schreitet während der Keystream-Erzeugung fort und führt komplexe Bitverschiebungen aus, bevor das letzte Byte angewendet wird.

Diese mehrschichtige Verschlüsselung schützt alle Strings in der Malware und verhindert, dass sie mit einfachen Reverse-Engineering-Scans wiederhergestellt werden können. Der stark modifizierte Cipher erschwert auch die statische signaturbasierte Erkennung erheblich. Anfang Mai erschien eine Solana-basierte SNS-Infrastruktur, bei der 24carnforth2merseyside.sol Assets über TXT-Records verteilte, gefolgt von der Aktivierung von burrberry.eth am 10. Juni.

Vom DDoS-Botnetz zur hybriden Relay-Architektur

Die bedeutendste architektonische Veränderung erfolgte am 25. Juni, als Forscher eine Dysphoria-Variante erfassten, die sämtlicher DDoS-Angriffs-Module beraubt war. Diese reine Relay-Probe fungierte ausschließlich als Proxy-Knoten und verwandelte das infizierte Gerät in ein verborgenes Traffic-Relay. Zwei Tage später fügte das Botnetz ein automatisiertes UPnP-Port-Mapping hinzu, das es der Malware erlaubt, Netzwerk-Gateways ohne manuelle Konfiguration zu durchlaufen.

Das hybride Modell kombiniert nun DDoS-fähige Proben mit einer dynamischen Liste kompromittierter Relay-Knoten. Infizierte Geräte leiten den Traffic an die eigentlichen Command-Server weiter und halten die reale Infrastruktur einen Schritt von direkter Sichtbarkeit entfernt. Dieses Design erschwert herkömmliche Serverbeschlagnahmungen erheblich, da Verteidiger die Command-Infrastruktur nicht einfach durch das Abschalten eines einzelnen Endpunkts stilllegen können.

Die Relay-Variante nutzt UPnP, um Ports am lokalen Gateway des infizierten Geräts zuzuordnen, und Linux epoll, um Traffic zwischen externen Verbindungen und entfernten C2-Diensten weiterzuleiten. Die Entwicklung zeigt, dass die Betreiber von Dysphoria erheblich in die Widerstandsfähigkeit gegen Strafverfolgungsmaßnahmen und Branchen-Entfernungen investiert haben.

Verteidigungsprioritäten und verbleibende Exponierung

Die von XLab und CNCERT veröffentlichten Telemetriedaten verzeichneten zwischen dem 14. und 20. Juli 4.401 bestätigte aktive Geräte in China sowie einen Tageshöchstwert von 239.000 Bots im Ausland. Keine der beiden Zahlen wurde unabhängig reproduziert, und die Forscher veröffentlichten keine Methode zur Zählung oder Deduplizierung. Die Zahlen sollten daher als Schätzungen und nicht als exakte Geräteerhebung verstanden werden.

Verteidiger sollten vorrangig exponierte IoT-Geräte patchen, Geräte ersetzen, die nicht mehr aktualisiert werden können, und Standard- oder schwache Anmeldedaten beseitigen. Das Deaktivieren von Fernverwaltung und UPnP, wo sie nicht benötigt werden, reduziert die Anfälligkeit für eine Infektion erheblich. Die Bedrohung betrifft Router, Kameras, Gateways und andere eingebettete Linux-Systeme, die mit unzureichenden Sicherheitskontrollen online bleiben.

Die Einführung blockchainbasierter Command-Infrastruktur stellt eine bemerkenswerte Technik zur Umgehung von Abwehrmaßnahmen dar, die an der Schnittstelle von Kryptowährungstechnologie und klassischer Malware-Operation liegt. Das Design entfernt die Infrastruktur nicht vollständig aus der Kette, da das Botnetz weiterhin auf Blockchain-Records, erreichbare Verteilungsknoten und kompromittierte Relays angewiesen ist. Es beseitigt jedoch den Single Point of Failure, den herkömmliche Domain-Beschlagnahmen boten.

Japans NICT dokumentierte im Mai 2026 unabhängig denselben Wechsel von JackSkid zu ENS- und SNS-Infrastruktur und bestätigte damit, dass mehrere Forschungsteams dasselbe technische Muster beobachteten. Die Konvergenz auf blockchainbasierte Command-Auflösung deutet darauf hin, dass dieser Ansatz häufiger werden könnte, da Betreiber nach Wegen suchen, die Widerstandsfähigkeit gegen Störungen durch Strafverfolgung und Branchen-Entfernungen aufrechtzuerhalten.