Un botnet in rapida evoluzione chiamato Dysphoria ha infettato circa 200,000 dispositivi in tutto il mondo e ha adottato nomi di dominio basati su blockchain per occultare la propria infrastruttura di comando e controllo, rendendo molto più difficile per i difensori intervenire. I ricercatori di QiAnXin XLab, in collaborazione con il team nazionale cinese di risposta alle emergenze informatiche, CNCERT, hanno reso nota la minaccia alla fine di luglio 2026 dopo averne seguito l’evoluzione tecnica da marzo.

L’uso da parte di Dysphoria di domini blockchain su Ethereum e Solana per memorizzare l’infrastruttura di comando rappresenta un’evoluzione significativa nel modo in cui gli operatori di malware possono aggirare i metodi tradizionali di smantellamento. Invece di affidarsi a indirizzi IP codificati in modo statico o a normali nomi di dominio che registri o provider di hosting possono sequestrare, il botnet interroga servizi di naming basati su blockchain per recuperare i dettagli di comando da registri decentralizzati.

Il botnet discende da precedenti famiglie di malware note come jackskid e fbot. Dysphoria è emerso a pochi giorni da un’operazione coordinata delle forze dell’ordine di Stati Uniti, Germania e Canada che ha interrotto l’infrastruttura JackSkid il 19 marzo. Entro sei giorni, i ricercatori hanno acquisito un campione di Dysphoria collegato al dominio Ethereum Name Service m3rnbvs5d.eth, segnalando che gli operatori erano già passati a una risoluzione dei comandi basata su blockchain.

Come i domini blockchain nascondono i server di comando

Il botnet interroga domini ENS come burrberry.eth e ukranianhorseriding.eth, oltre al dominio Solana 24carnforth2merseyside.sol, per recuperare dettagli sull’infrastruttura di comando dai record TXT. I veri indirizzi dei server di comando non sono memorizzati come semplici indirizzi IP. Al loro posto compaiono come stringhe IPv6 fittizie, e le destinazioni reali vengono estratte tramite una funzione personalizzata di trasformazione dei byte.

Una stringa campione analizzata durante l’indagine, 12e7:13d7, si risolve nell’indirizzo IPv4 144.31.38.215 una volta applicata la routine di decifratura. A un osservatore occasionale, il record sulla blockchain sembra una voce IPv6 inattiva anziché un endpoint di comando attivo. Questa tecnica di offuscamento mantiene nascosti gli indirizzi dei server degli aggressori durante le ispezioni di rete di base.

I registri dei nomi blockchain si collocano inoltre al di fuori dei processi convenzionali di takedown. Un difensore che cerchi di interrompere questa infrastruttura non ha un registrar o un provider di hosting da avvisare, a differenza di un normale sequestro di dominio. Poiché i record blockchain sono distribuiti, non esiste un’unica autorità in grado di revocare o reindirizzare le voci.

Rapida iterazione tecnica e crittografia delle stringhe

Da quando è apparso per la prima volta nel marzo 2026, Dysphoria ha subito frequenti modifiche in soli quattro mesi. Il 25 marzo, la variante iniziale di jackskid collegata a m3rnbvs5d.eth ha esposto una stringa di debug che recitava “android has no compatible libc library.” Il 1 aprile, i ricercatori hanno osservato una variante fbot che a runtime mostrava “hail china mainland”, indicando un ceppo correlato ma distinto nello stesso ecosistema.

Alla fine di aprile, il malware ha introdotto un sistema personalizzato di crittografia delle stringhe basato su RC4 insieme alla logica di acquisizione del C2 su blockchain. L’algoritmo RC4 modificato aggiunge due fasi extra rispetto all’inizializzazione standard di RC4. Un Linear Congruential Generator rimescola lo S-box cinque volte, e un Linear Feedback Shift Register avanza durante la generazione del keystream, eseguendo complessi shift di bit prima dell’applicazione del byte finale.

Questo livello di crittografia protegge tutte le stringhe nel malware e impedisce di recuperarle tramite scansioni di reverse engineering di base. Il cifrario ampiamente modificato rende inoltre molto più difficile il rilevamento statico basato su firme. All’inizio di maggio è emersa un’infrastruttura SNS basata su Solana con 24carnforth2merseyside.sol che distribuiva asset tramite record TXT, seguita dall’attivazione di burrberry.eth il 10 giugno.

Da botnet DDoS ad architettura relay ibrida

Il cambiamento architetturale più significativo è avvenuto il 25 giugno, quando i ricercatori hanno catturato una variante di Dysphoria priva di tutti i moduli di attacco DDoS. Questo campione solo relay operava esclusivamente come nodo proxy, trasformando il dispositivo infetto in un relay di traffico nascosto. Due giorni dopo, il botnet ha aggiunto il port mapping UPnP automatizzato, consentendo al malware di attraversare i gateway di rete senza configurazione manuale.

Il modello ibrido combina ora campioni in grado di effettuare DDoS con un elenco dinamico di nodi relay compromessi. I dispositivi infetti instradano il traffico verso i veri server di comando, mantenendo l’infrastruttura reale un passo indietro rispetto all’esposizione diretta. Questa struttura complica in modo sostanziale i tradizionali sequestri dei server, perché i difensori non possono chiudere l’infrastruttura di comando semplicemente rimuovendo un singolo endpoint.

La variante relay utilizza UPnP per mappare le porte sul gateway locale del dispositivo infetto e Linux epoll per spostare il traffico tra connessioni esterne e servizi C2 remoti. La trasformazione dimostra che gli operatori di Dysphoria hanno investito pesantemente per rendere il botnet resiliente sia alle azioni delle forze dell’ordine sia ai takedown dell’industria.

Priorità difensive ed esposizione residua

La telemetria pubblicata da XLab e CNCERT ha registrato 4,401 dispositivi attivi confermati all’interno della Cina tra il 14 e il 20 luglio e un picco giornaliero di 239,000 bot all’estero. Nessuno dei due dati è stato riprodotto in modo indipendente e i ricercatori non hanno pubblicato una metodologia di conteggio o deduplicazione. I numeri devono quindi essere considerati stime e non un censimento preciso dei dispositivi.

I difensori dovrebbero dare priorità alla correzione dei dispositivi IoT esposti, alla sostituzione dei dispositivi che non possono più essere aggiornati e all’eliminazione di credenziali predefinite o deboli. Disabilitare la gestione remota e UPnP quando non necessari riduce in modo significativo l’esposizione all’infezione. La minaccia colpisce router, telecamere, gateway e altri sistemi Linux embedded che restano online con controlli di sicurezza insufficienti.

L’adozione di un’infrastruttura di comando basata su blockchain rappresenta una notevole tecnica di elusione difensiva che si colloca all’incrocio tra tecnologia delle criptovalute e operazioni malware tradizionali. Il design non elimina completamente l’infrastruttura dalla catena, poiché il botnet dipende ancora da record blockchain, nodi di distribuzione raggiungibili e relay compromessi. Tuttavia, elimina il singolo punto di guasto che i sequestri di domini convenzionali offrivano.

L’NICT del Giappone ha documentato in modo indipendente lo stesso passaggio da JackSkid a un’infrastruttura ENS e SNS nel maggio 2026, confermando che più team di ricerca hanno osservato lo stesso schema tecnico. La convergenza sulla risoluzione dei comandi basata su blockchain suggerisce che questo approccio potrebbe diventare più comune mentre gli operatori cercano modi per mantenere la resilienza contro le interruzioni delle forze dell’ordine e i takedown dell’industria.