Cybersecurity-Forscher haben ein ausgeklügeltes Botnetz namens Dysphoria identifiziert, das weltweit etwa 200.000 Geräte kompromittiert hat und blockchainbasierte Domainnamen in den Ethereum- und Solana-Netzwerken nutzt, um seine Command-and-Control-(C2)-Infrastruktur zu verbergen. Die Erkenntnisse wurden gemeinsam von QiAnXin XLab und Chinas National Computer Network Emergency Response Technical Team/Coordination Center (CNCERT) veröffentlicht und unterstreichen die schnelle technische Weiterentwicklung und wachsende Raffinesse der Malware.

Ethereum- und Solana-Domains zur Verschleierung der Command-Infrastruktur verwendet

Nach Angaben der Forscher entwickelte sich Dysphoria aus den früheren Malware-Familien jackskid und fbot. Seit der ersten Entdeckung durch QiAnXin XLab im März 2026 hat das Botnetz innerhalb weniger Monate mehrere Upgrades erhalten, darunter stärkere Verschlüsselungstechniken, blockchainbasierte Erkennung von Command-Servern und eine spezielle Relay-Variante, die kompromittierte Systeme in verdeckte Proxy-Knoten verwandelt.

Die Forscher berichteten, dass Dysphoria weltweit rund 200.000 Geräte infiziert hat und nun Ethereum Name Service (ENS)- und Solana Name Service (SNS)-Domains verwendet, um seine Command-and-Control-Infrastruktur zu verschleiern, was die Erkennung erheblich erschwert. Dieser Wechsel ist bedeutsam, weil er die Abfrage von Befehlen aus der herkömmlichen DNS-Infrastruktur in Blockchain-Namenssysteme verlagert, die Verteidiger möglicherweise nicht in gleicher Weise überwachen.

QiAnXin XLab erklärte, dass Dysphoria seit dem ersten Quartal 2026 beobachtet werde und in diesem Zeitraum häufige Veränderungen sowie technische Verbesserungen festgestellt wurden. Die Forscher sagten, die Malware habe durch kontinuierliche Weiterentwicklung eine erhebliche Widerstandsfähigkeit gezeigt, sich über mehrere Varianten hinweg weiterentwickelt und dabei blockchainbasierte Command-Auflösung eingeführt sowie ihre Funktionalität durch die Umwandlung infizierter Geräte in Relay-Knoten erweitert.

Eine der bedeutendsten technischen Änderungen betrifft den Mechanismus zur Auflösung von Command-Servern. Anstatt Adressen der Command-Server direkt in den Schadcode einzubetten oder auf herkömmliche Domain Name Services zu setzen, fragt Dysphoria Ethereum Name Service-Domains wie burrberry.eth und ukranianhorseriding.eth sowie eine Solana Name Service-Domain ab. Diese Domains enthalten speziell gestaltete TXT-Records, die IPv6-Adressen zu speichern scheinen, tatsächlich aber die echten Internet-Protokoll-Adressen durch einen angepassten Byte-Transformationsprozess verschleiern. Dadurch vermeidet die Malware, die tatsächlichen Serverstandorte sowohl im Code als auch im normalen Netzwerkverkehr offenzulegen.

Der Bericht hob außerdem erhebliche Änderungen bei den Verschlüsselungstechniken der Malware hervor. Dysphoria enthält eine stark modifizierte Implementierung des RC4-Verschlüsselungsalgorithmus und fügt über das Standarddesign hinaus zusätzliche Verarbeitungsschritte hinzu. Die Forscher erklärten, dass die Malware bei der Keystream-Generierung einen Linear Congruential Generator (LCG) mit wiederholtem S-Box-Shuffling und einem Linear Feedback Shift Register (LFSR) kombiniert, wodurch verschlüsselte Zeichenfolgen mit herkömmlichen Malware-Analyseverfahren deutlich schwerer zu untersuchen sind. Folglich liefern Standard-Tools zum Durchsuchen von Zeichenketten Sicherheitsanalysten nur wenige nützliche Informationen.

Die neuesten Dysphoria-Varianten kombinieren angepasste RC4-Verschlüsselung mit blockchainbasierter Command-Auflösung und Schutz verschlüsselter Zeichenfolgen, was die Widerstandsfähigkeit gegen Malware-Analyse und Infrastrukturerkennung deutlich erhöht.

Die Forscher identifizierten außerdem eine neue, auf Relays ausgerichtete Variante, die am 25. Juni auftrat. Im Gegensatz zu früheren Versionen, die Module für Distributed-Denial-of-Service-(DDoS)-Angriffe enthielten, wandelt die aktualisierte Variante infizierte Geräte hauptsächlich in verborgene Relay-Server um. Nach der Kompromittierung eines Systems entdeckt die Malware über Universal Plug and Play (UPnP)-Anfragen das lokale Netzwerk-Gateway und richtet automatisch bis zu 155 Port-Forwarding-Regeln ein.

Die Relay-Architektur ermöglicht es kompromittierten Geräten, Netzwerkverkehr zwischen Angreifern und entfernten Command-Servern transparent über Linuxs leistungsstarkes asynchrones Input/Output-Framework weiterzuleiten. Die Forscher erklärten, dass jeder Relay-Knoten alle vier Sekunden regelmäßig Statusberichte mit Verbindungsstatistiken und Bandbreiteninformationen an einen zentralisierten Heartbeat-Server sendet. Dieses Design verhindert, dass DDoS-Bots direkt mit den tatsächlichen Command-Servern kommunizieren, und leitet den Verkehr stattdessen über andere infizierte Systeme, die als Zwischen-Relays fungieren.

Die zwischen dem 14. Juli und dem 20. Juli durchgeführte Überwachung verzeichnete tägliche Spitzen bei den Kommunikationsvolumina von rund 740.000 Pings von infizierten Hosts. Während dieses Zeitraums beobachteten die Forscher an einem einzelnen Tag bis zu 239.000 aktive Geräte im Ausland und 1.801 aktive Geräte in China, was die beträchtliche globale Reichweite des Botnetzes belegt.

Die Untersuchung ergab außerdem, dass sich Dysphoria durch die Ausnutzung schwacher Telnet- und Secure-Shell-(SSH)-Zugangsdaten sowie zahlreicher bekannter Schwachstellen in Routern, Überwachungskameras und Internet-of-Things-(IoT)-Geräten verbreitet. Die Malware zielt sowohl auf kürzlich bekannt gewordene Schwachstellen als auch auf ältere Fehler ab, die auf vielen eingesetzten Systemen weiterhin ungepatcht sind.

Die Forscher berichteten ferner, dass die Betreiber von Dysphoria DDoS-for-hire-Dienste bewerben, die eine Angriffskapazität von bis zu 4 terabits pro Sekunde liefern können, während sie nahezu kontinuierliche Angriffe gegen Organisationen in mehreren Branchen weltweit aufrechterhalten.

Der Bericht kam zu dem Schluss, dass Dysphoria eine zunehmend ausgereifte cyberkriminelle Operation darstellt, deren Kombination aus Blockchain-Technologie, fortschrittlicher Verschlüsselung, relaybasierter Infrastruktur und aggressiven Verbreitungstechniken eine wachsende Herausforderung für Cybersecurity-Verteidiger darstellt, die versuchen, ihre globalen Aktivitäten zu identifizieren und zu unterbinden.