Investigadores de ciberseguridad han identificado una botnet sofisticada conocida como Dysphoria, que ha comprometido aproximadamente 200,000 dispositivos en todo el mundo y utiliza nombres de dominio basados en blockchain en las redes Ethereum y Solana para ocultar su infraestructura de comando y control (C2). Los hallazgos fueron divulgados conjuntamente por QiAnXin XLab y el National Computer Network Emergency Response Technical Team/Coordination Center (CNCERT) de China, lo que subraya la rápida evolución técnica y la creciente sofisticación del malware.

Dominios de Ethereum y Solana utilizados para ocultar la infraestructura de comando

Según los investigadores, Dysphoria evolucionó a partir de las familias de malware anteriores jackskid y fbot. Desde que fue detectada por primera vez por QiAnXin XLab en marzo de 2026, la botnet ha recibido múltiples actualizaciones en solo unos meses, incorporando técnicas de cifrado más robustas, descubrimiento de servidores de comando basado en blockchain y una variante especializada de relé que convierte sistemas comprometidos en nodos proxy encubiertos.

Los investigadores informaron que Dysphoria ha infectado alrededor de 200,000 dispositivos a nivel mundial y ahora utiliza dominios de Ethereum Name Service (ENS) y Solana Name Service (SNS) para ocultar su infraestructura de comando y control, lo que dificulta significativamente la detección.

QiAnXin XLab señaló que ha estado haciendo seguimiento de Dysphoria desde el primer trimestre de 2026 y observó mutaciones frecuentes y mejoras tecnológicas durante ese período. Los investigadores indicaron que el malware mostró una considerable resiliencia mediante desarrollo continuo, evolucionando a través de múltiples variantes mientras introducía resolución de comandos basada en blockchain y ampliaba su funcionalidad al convertir dispositivos infectados en nodos de relé.

Uno de los cambios técnicos más importantes afecta el mecanismo de resolución de servidores de comando del malware. En lugar de incrustar direcciones de servidores de comando directamente en el código malicioso o depender de servicios de nombres de dominio convencionales, Dysphoria consulta dominios de Ethereum Name Service como burrberry.eth y ukranianhorseriding.eth, junto con un dominio de Solana Name Service. Estos dominios contienen registros TXT especialmente elaborados que parecen almacenar direcciones IPv6, pero en realidad ocultan las direcciones reales de Protocolo de Internet mediante un proceso personalizado de transformación de bytes. Como resultado, el malware evita exponer las ubicaciones reales de los servidores tanto en su código como en el tráfico de red estándar.

El informe también destacó cambios sustanciales en las técnicas de cifrado del malware. Dysphoria incorpora una implementación fuertemente modificada del algoritmo de cifrado RC4, introduciendo etapas de procesamiento adicionales más allá del diseño estándar. Los investigadores explicaron que el malware combina un Linear Congruential Generator (LCG) con barajado repetido de S-box y un Linear Feedback Shift Register (LFSR) durante la generación del flujo de claves, lo que hace que las cadenas cifradas sean mucho más difíciles de analizar mediante métodos convencionales de inspección de malware. En consecuencia, las herramientas estándar de escaneo de cadenas ofrecen poca información útil a los analistas de seguridad.

Las variantes más recientes de Dysphoria combinan cifrado RC4 personalizado con resolución de comandos basada en blockchain y protección de cadenas cifradas, aumentando de forma considerable la resistencia al análisis de malware y a la detección de infraestructura.

Los investigadores también identificaron una nueva variante centrada en relés que apareció el June 25. A diferencia de versiones anteriores que contenían módulos de ataque de denegación de servicio distribuido (DDoS), la variante actual convierte principalmente los dispositivos infectados en servidores de relé ocultos. Tras comprometer un sistema, el malware descubre la puerta de enlace de la red local mediante solicitudes Universal Plug and Play (UPnP) y establece automáticamente hasta 155 reglas de redirección de puertos.

La arquitectura de relé permite que los dispositivos comprometidos reenvíen de forma transparente el tráfico de red entre los atacantes y los servidores de comando remotos mediante el marco de entrada/salida asíncrono de alto rendimiento de Linux. Los investigadores explicaron que cada nodo de relé envía periódicamente informes de estado con estadísticas de conexión e información de ancho de banda a un servidor centralizado de latido cada four seconds. Este diseño impide que los bots DDoS se comuniquen directamente con los servidores de comando reales, y en su lugar enruta el tráfico a través de otros sistemas infectados que actúan como relés intermedios.

El monitoreo realizado entre July 14 y July 20 registró volúmenes diarios máximos de comunicación de aproximadamente 740,000 pings desde hosts infectados. Durante ese período, los investigadores observaron hasta 239,000 dispositivos activos en el extranjero y 1,801 dispositivos activos dentro de China en un solo día, lo que indica la importante huella global de la botnet.

La investigación también reveló que Dysphoria se propaga explotando credenciales débiles de Telnet y Secure Shell (SSH), así como numerosas vulnerabilidades conocidas que afectan a routers, cámaras de vigilancia y dispositivos del Internet de las Cosas (IoT). El malware apunta tanto a vulnerabilidades divulgadas recientemente como a fallos más antiguos que siguen sin parchearse en muchos sistemas desplegados.

Los investigadores informaron además que los operadores de Dysphoria promocionan servicios DDoS-for-hire capaces de entregar hasta 4 terabits per second de capacidad de ataque, mientras mantienen ataques casi continuos contra organizaciones de múltiples sectores en todo el mundo.

El informe concluyó que Dysphoria representa una operación cibercriminal cada vez más madura, cuya combinación de tecnología blockchain, cifrado avanzado, infraestructura basada en relés y técnicas agresivas de propagación plantea un desafío creciente para los defensores de ciberseguridad que buscan identificar e interrumpir sus operaciones globales.