I ricercatori di cybersecurity hanno identificato un botnet sofisticato noto come Dysphoria che ha compromesso circa 200,000 dispositivi in tutto il mondo e utilizza nomi di dominio basati su blockchain sulle reti Ethereum e Solana per nascondere la propria infrastruttura di command-and-control (C2). I risultati sono stati divulgati congiuntamente da QiAnXin XLab e dal China’s National Computer Network Emergency Response Technical Team/Coordination Center (CNCERT), a conferma della rapida evoluzione tecnica e della crescente sofisticazione del malware.

Domini Ethereum e Solana utilizzati per nascondere l’infrastruttura di comando

Secondo i ricercatori, Dysphoria si è evoluto dalle precedenti famiglie di malware jackskid e fbot. Da quando è stato rilevato per la prima volta da QiAnXin XLab nel marzo 2026, il botnet ha ricevuto più aggiornamenti in pochi mesi, aggiungendo tecniche di crittografia più robuste, la scoperta dei server di comando basata su blockchain e una variante relay specializzata che trasforma i sistemi compromessi in nodi proxy nascosti.

I ricercatori hanno riferito che Dysphoria ha infettato circa 200,000 dispositivi a livello globale e ora utilizza domini Ethereum Name Service (ENS) e Solana Name Service (SNS) per nascondere la propria infrastruttura di command-and-control, rendendo il rilevamento significativamente più difficile. Questo cambiamento è rilevante perché sposta le query dei comandi dall’infrastruttura DNS convenzionale a sistemi di naming blockchain che i difensori potrebbero non monitorare abitualmente nello stesso modo.

QiAnXin XLab ha dichiarato di monitorare Dysphoria dal primo trimestre del 2026 e di aver osservato frequenti mutazioni e miglioramenti tecnici in quel periodo. I ricercatori hanno affermato che il malware ha mostrato una notevole resilienza attraverso uno sviluppo continuo, evolvendo attraverso più varianti mentre introduceva la risoluzione dei comandi basata su blockchain ed espandeva le proprie funzionalità convertendo i dispositivi infetti in nodi relay.

Uno dei cambiamenti tecnici più significativi riguarda il meccanismo di risoluzione dei server di comando del malware. Invece di incorporare gli indirizzi dei server di comando direttamente nel codice malevolo o affidarsi ai servizi di domain name convenzionali, Dysphoria interroga domini Ethereum Name Service come burrberry.eth e ukranianhorseriding.eth, insieme a un dominio Solana Name Service. Questi domini contengono record TXT appositamente creati che sembrano memorizzare indirizzi IPv6 ma in realtà occultano i veri indirizzi Internet Protocol tramite un processo personalizzato di trasformazione dei byte. Di conseguenza, il malware evita di esporre le reali posizioni dei server sia nel proprio codice sia nel traffico di rete standard.

Il rapporto ha inoltre evidenziato importanti modifiche alle tecniche di crittografia del malware. Dysphoria incorpora un’implementazione pesantemente modificata dell’algoritmo di cifratura RC4, introducendo fasi di elaborazione aggiuntive rispetto al progetto standard. I ricercatori hanno spiegato che il malware combina un Linear Congruential Generator (LCG) con ripetuti S-box shuffling e un Linear Feedback Shift Register (LFSR) durante la generazione del keystream, rendendo le stringhe cifrate molto più difficili da analizzare tramite i metodi convenzionali di ispezione del malware. Di conseguenza, i normali strumenti di scansione delle stringhe forniscono poche informazioni utili agli analisti di sicurezza.

Le varianti più recenti di Dysphoria combinano una crittografia RC4 personalizzata con la risoluzione dei comandi basata su blockchain e la protezione delle stringhe cifrate, aumentando significativamente la resistenza all’analisi del malware e al rilevamento dell’infrastruttura.

I ricercatori hanno anche identificato una nuova variante focalizzata sui relay, emersa il June 25. A differenza delle versioni precedenti che contenevano moduli di attacco distributed denial-of-service (DDoS), la variante aggiornata trasforma principalmente i dispositivi infetti in server relay nascosti. Dopo aver compromesso un sistema, il malware individua il gateway della rete locale tramite richieste Universal Plug and Play (UPnP) e stabilisce automaticamente fino a 155 regole di port forwarding.

L’architettura relay consente ai dispositivi compromessi di inoltrare in modo trasparente il traffico di rete tra gli aggressori e i server di comando remoti utilizzando il framework di input/output asincrono ad alte prestazioni di Linux. I ricercatori hanno spiegato che ogni nodo relay invia periodicamente ogni quattro secondi report di stato contenenti statistiche di connessione e informazioni sulla larghezza di banda a un heartbeat server centralizzato. Questa progettazione impedisce ai bot DDoS di comunicare direttamente con i veri server di comando, instradando invece il traffico attraverso altri sistemi infetti che fungono da relay intermedi.

Il monitoraggio effettuato tra July 14 e July 20 ha registrato volumi massimi giornalieri di comunicazione di circa 740,000 ping dagli host infetti. Durante quel periodo, i ricercatori hanno osservato in un singolo giorno fino a 239,000 dispositivi attivi all’estero e 1,801 dispositivi attivi all’interno della China, indicando una significativa presenza globale del botnet.

L’indagine ha inoltre rivelato che Dysphoria si diffonde sfruttando credenziali Telnet e Secure Shell (SSH) deboli, oltre a numerose vulnerabilità note che colpiscono router, telecamere di sorveglianza e dispositivi Internet of Things (IoT). Il malware prende di mira sia vulnerabilità divulgate di recente sia vecchie falle che rimangono non corrette in molti sistemi già distribuiti.

I ricercatori hanno inoltre riferito che gli operatori di Dysphoria pubblicizzano servizi DDoS-for-hire capaci di fornire fino a 4 terabits per second di capacità d’attacco, mantenendo attacchi quasi continui contro organizzazioni in più settori a livello globale.

Il rapporto ha concluso che Dysphoria rappresenta un’operazione criminale informatica sempre più matura, la cui combinazione di tecnologia blockchain, crittografia avanzata, infrastruttura basata su relay e tecniche di propagazione aggressive costituisce una sfida crescente per i difensori della cybersecurity impegnati a identificarne e interromperne le operazioni globali.