Des chercheurs en cybersécurité ont identifié un botnet sophistiqué connu sous le nom de Dysphoria, qui a compromis environ 200,000 appareils dans le monde et utilise des noms de domaine basés sur la blockchain sur les réseaux Ethereum et Solana pour dissimuler son infrastructure de commande et de contrôle (C2). Ces conclusions ont été communiquées conjointement par QiAnXin XLab et le China’s National Computer Network Emergency Response Technical Team/Coordination Center (CNCERT), soulignant l’évolution technique rapide du malware et sa sophistication croissante.

Les domaines Ethereum et Solana utilisés pour masquer l’infrastructure de commande

Selon les chercheurs, Dysphoria est issu des familles de malware antérieures jackskid et fbot. Depuis sa première détection par QiAnXin XLab en March 2026, le botnet a fait l’objet de plusieurs mises à niveau en seulement quelques mois, intégrant des techniques de chiffrement plus fortes, une découverte de serveurs de commande basée sur la blockchain et une variante de relais spécialisée qui transforme les systèmes compromis en nœuds proxy furtifs.

Les chercheurs ont indiqué que Dysphoria a infecté environ 200,000 appareils à l’échelle mondiale et utilise désormais des domaines Ethereum Name Service (ENS) et Solana Name Service (SNS) pour masquer son infrastructure de commande et de contrôle, ce qui rend la détection nettement plus difficile.

QiAnXin XLab a déclaré suivre Dysphoria depuis le premier trimestre de 2026 et avoir observé, durant cette période, des mutations fréquentes ainsi que des améliorations techniques. Les chercheurs ont indiqué que le malware a fait preuve d’une forte résilience grâce à un développement continu, évoluant à travers plusieurs variantes tout en introduisant une résolution de commande basée sur la blockchain et en étendant ses capacités par la conversion d’appareils infectés en nœuds relais.

L’une des évolutions techniques les plus importantes concerne le mécanisme de résolution des serveurs de commande du malware. Au lieu d’intégrer directement les adresses des serveurs de commande dans le code malveillant ou de s’appuyer sur des services de noms de domaine conventionnels, Dysphoria interroge des domaines Ethereum Name Service tels que burrberry.eth et ukranianhorseriding.eth, ainsi qu’un domaine Solana Name Service. Ces domaines contiennent des enregistrements TXT spécialement conçus qui semblent stocker des adresses IPv6 mais dissimulent en réalité les véritables adresses Internet Protocol au moyen d’un processus personnalisé de transformation d’octets. Ainsi, le malware évite d’exposer les emplacements réels des serveurs, que ce soit dans son code ou dans le trafic réseau standard.

Le rapport a également mis en évidence des changements importants dans les techniques de chiffrement du malware. Dysphoria intègre une implémentation fortement modifiée de l’algorithme de chiffrement RC4, en ajoutant des étapes de traitement supplémentaires au-delà de la conception standard. Les chercheurs ont expliqué que le malware combine un Linear Congruential Generator (LCG) avec un S-box shuffling répété et un Linear Feedback Shift Register (LFSR) lors de la génération du keystream, ce qui rend les chaînes chiffrées beaucoup plus difficiles à analyser par les méthodes traditionnelles d’inspection des malwares. En conséquence, les outils standard d’analyse de chaînes fournissent peu d’informations utiles aux analystes en sécurité.

Les dernières variantes de Dysphoria combinent un chiffrement RC4 personnalisé, une résolution de commande basée sur la blockchain et une protection des chaînes chiffrées, renforçant considérablement la résistance à l’analyse du malware et à la détection de l’infrastructure.

Les chercheurs ont également identifié une nouvelle variante axée sur les relais apparue le June 25. Contrairement aux versions précédentes qui contenaient des modules d’attaque par déni de service distribué (DDoS), la variante mise à jour transforme principalement les appareils infectés en serveurs relais cachés. Après avoir compromis un système, le malware détecte la passerelle du réseau local via des requêtes Universal Plug and Play (UPnP) et établit automatiquement jusqu’à 155 règles de redirection de ports.

L’architecture de relais permet aux appareils compromis de relayer de manière transparente le trafic réseau entre les attaquants et les serveurs de commande distants en utilisant le framework d’E/S asynchrone haute performance de Linux. Les chercheurs ont expliqué que chaque nœud relais envoie périodiquement toutes les quatre secondes des rapports d’état contenant des statistiques de connexion et des informations de bande passante à un serveur heartbeat centralisé. Cette conception empêche les bots DDoS de communiquer directement avec les véritables serveurs de commande, en faisant transiter le trafic par d’autres systèmes infectés qui servent de relais intermédiaires.

La surveillance effectuée entre July 14 et July 20 a enregistré des volumes de communication journaliers de pointe d’environ 740,000 pings provenant d’hôtes infectés. Pendant cette période, les chercheurs ont observé jusqu’à 239,000 appareils actifs à l’étranger et 1,801 appareils actifs en Chine sur une seule journée, ce qui indique l’ampleur mondiale du botnet.

L’enquête a également révélé que Dysphoria se propage en exploitant des identifiants Telnet et Secure Shell (SSH) faibles, ainsi que de nombreuses vulnérabilités connues affectant les routeurs, les caméras de surveillance et les appareils Internet of Things (IoT). Le malware cible à la fois des vulnérabilités récemment divulguées et d’anciennes failles restées non corrigées sur de nombreux systèmes déployés.

Les chercheurs ont en outre indiqué que les opérateurs de Dysphoria proposent des services DDoS-for-hire capables de fournir jusqu’à 4 terabits per second de capacité d’attaque, tout en maintenant des attaques presque continues contre des organisations de multiples secteurs à travers le monde.

Le rapport conclut que Dysphoria représente une opération cybercriminelle de plus en plus mature, dont la combinaison de technologie blockchain, de chiffrement avancé, d’une infrastructure basée sur les relais et de techniques de propagation agressives constitue un défi croissant pour les défenseurs de la cybersécurité qui cherchent à identifier et perturber ses opérations mondiales.