Un botnet en évolution rapide, appelé Dysphoria, a infecté environ 200 000 appareils dans le monde et adopté des noms de domaine basés sur la blockchain pour dissimuler son infrastructure de commande et de contrôle, ce qui rend sa neutralisation nettement plus difficile pour les défenseurs. Des chercheurs de QiAnXin XLab, travaillant conjointement avec le centre national chinois de réponse aux urgences informatiques, le CNCERT, ont divulgué cette menace fin juillet 2026 après avoir suivi son évolution technique depuis mars.

L’utilisation par Dysphoria de domaines blockchain Ethereum et Solana pour héberger l’infrastructure de commande constitue une escalade notable dans la manière dont les opérateurs de logiciels malveillants peuvent contourner les méthodes traditionnelles de mise hors service. Au lieu de s’appuyer sur des adresses IP codées en dur ou sur des noms de domaine classiques que les registrars ou les hébergeurs peuvent saisir, le botnet interroge des services de noms basés sur la blockchain afin d’extraire les détails de commande à partir d’enregistrements décentralisés.

Le botnet est issu de familles de malwares antérieures connues sous les noms de jackskid et fbot. Dysphoria est apparu quelques jours après une opération coordonnée des forces de l’ordre aux États-Unis, en Allemagne et au Canada, qui a perturbé l’infrastructure de JackSkid le 19 mars. En six jours, les chercheurs ont capturé un échantillon de Dysphoria lié au domaine Ethereum Name Service m3rnbvs5d.eth, indiquant que les opérateurs avaient déjà basculé vers une résolution de commande basée sur la blockchain.

Comment les domaines blockchain masquent les serveurs de commande

Le botnet interroge des domaines ENS tels que burrberry.eth et ukranianhorseriding.eth, ainsi que le domaine Solana 24carnforth2merseyside.sol, afin de récupérer des détails d’infrastructure de commande à partir d’enregistrements TXT. Les adresses réelles des serveurs de commande ne sont pas stockées sous forme d’adresses IP en clair. Elles apparaissent plutôt sous forme de fausses chaînes IPv6, et les cibles authentiques sont extraites à l’aide d’une fonction de transformation d’octets personnalisée.

Une chaîne analysée par les chercheurs, 12e7:13d7, se résout en l’adresse IPv4 144.31.38.215 une fois la routine de déchiffrement appliquée. Pour un observateur occasionnel, l’enregistrement blockchain ressemble à une entrée IPv6 inopérante plutôt qu’à un point de commande actif. Cette technique d’obfuscation maintient les adresses des serveurs des attaquants hors de portée d’une inspection réseau basique.

Les registres de noms blockchain se situent également en dehors des procédures de mise hors service conventionnelles. Un défenseur qui tente de perturber cette infrastructure n’a ni registrar ni hébergeur à notifier, contrairement à une saisie classique de domaine. Comme les enregistrements blockchain sont distribués, il n’existe aucune autorité unique capable de révoquer ou de rediriger les entrées.

Itération technique rapide et chiffrement des chaînes

Depuis sa première apparition en mars 2026, Dysphoria a connu des mutations fréquentes en seulement quatre mois. Le 25 mars, la variante initiale de jackskid liée à m3rnbvs5d.eth a révélé une chaîne de débogage indiquant « android has no compatible libc library ». Le 1er avril, les chercheurs ont observé une variante fbot affichant « hail china mainland » à l’exécution, ce qui indique une souche liée mais distincte au sein du même écosystème.

Fin avril, le malware a intégré un schéma de chiffrement des chaînes basé sur RC4, en plus d’une logique d’acquisition de C2 via la blockchain. L’algorithme RC4 modifié ajoute deux phases supplémentaires au-delà de l’initialisation standard de RC4. Un générateur congruentiel linéaire mélange le S-box cinq fois, et un registre à rétroaction linéaire progresse pendant la génération du flot de clé, en effectuant des décalages de bits complexes avant l’application du dernier octet.

Ce chiffrement multicouche protège toutes les chaînes du malware et empêche leur récupération via des analyses de rétro-ingénierie de base. Ce chiffre fortement modifié rend également la détection statique par signatures nettement plus difficile. Début mai, une infrastructure SNS basée sur Solana est apparue, avec 24carnforth2merseyside.sol distribuant des éléments via des enregistrements TXT, suivie de l’activation de burrberry.eth le 10 juin.

D’un botnet DDoS à une architecture hybride de relais

Le changement architectural le plus important s’est produit le 25 juin, lorsque les chercheurs ont capturé une variante de Dysphoria dépourvue de tous les modules d’attaque DDoS. Cet échantillon, limité au relais, fonctionnait uniquement comme nœud proxy, transformant l’appareil infecté en relais de trafic dissimulé. Deux jours plus tard, le botnet a ajouté une cartographie automatisée des ports UPnP, permettant au malware de traverser les passerelles réseau sans configuration manuelle.

Le modèle hybride combine désormais des échantillons capables de DDoS avec une liste dynamique de nœuds relais compromis. Les appareils infectés relaient le trafic vers les véritables serveurs de commande, en maintenant l’infrastructure réelle à un niveau d’exposition indirect. Cette conception complique fortement la saisie traditionnelle des serveurs, car les défenseurs ne peuvent pas mettre hors service l’infrastructure de commande en se contentant de supprimer un seul point d’extrémité.

La variante relais utilise UPnP pour mapper des ports sur la passerelle locale de l’appareil infecté et Linux epoll pour acheminer le trafic entre les connexions externes et les services C2 distants. Cette évolution montre que les opérateurs de Dysphoria ont investi massivement pour rendre le botnet résilient face aux actions des forces de l’ordre et aux mises hors service de l’industrie.

Priorités défensives et exposition restante

La télémétrie publiée par XLab et CNCERT a recensé 4 401 appareils actifs confirmés en Chine entre le 14 et le 20 juillet, ainsi qu’un pic journalier de 239 000 bots à l’étranger. Aucun de ces chiffres n’a été reproduit de manière indépendante, et les chercheurs n’ont publié aucune méthodologie de décompte ou de déduplication. Ces chiffres doivent donc être considérés comme des estimations plutôt que comme un recensement précis des appareils.

Les défenseurs devraient prioriser l’application de correctifs sur les équipements IoT exposés, le remplacement des appareils qui ne peuvent plus être mis à jour, et l’élimination des identifiants par défaut ou faibles. La désactivation de la gestion à distance et d’UPnP lorsqu’ils ne sont pas nécessaires réduit significativement l’exposition à l’infection. La menace affecte les routeurs, caméras, passerelles et autres systèmes Linux embarqués qui restent en ligne avec des contrôles de sécurité insuffisants.

L’adoption d’une infrastructure de commande basée sur la blockchain représente une technique notable d’évasion défensive, à l’intersection de la technologie des cryptomonnaies et des opérations malveillantes traditionnelles. Cette conception ne retire pas complètement l’infrastructure de la chaîne, puisque le botnet dépend toujours d’enregistrements blockchain, de nœuds de distribution accessibles et de relais compromis. En revanche, elle élimine le point de défaillance unique qu’offraient les saisies de domaines conventionnelles.

Le NICT japonais a documenté de manière indépendante la même transition de JackSkid vers des infrastructures ENS et SNS en mai 2026, confirmant que plusieurs équipes de recherche ont observé le même schéma technique. La convergence vers une résolution de commande fondée sur la blockchain suggère que cette approche pourrait devenir plus courante à mesure que les opérateurs cherchent à maintenir leur résilience face aux perturbations des forces de l’ordre et aux mises hors service de l’industrie.