急速に進化するDysphoriaと呼ばれるボットネットは、世界で約20万台のデバイスに感染し、ブロックチェーンベースのドメイン名を採用してコマンド＆コントロール基盤を秘匿しており、防御側による排除を著しく難しくしている。QiAnXin XLabの研究者は、中国の国家コンピュータ緊急対応チームCNCERTと共同で、3月からの技術的進化を追跡した上で、2026年7月下旬にこの脅威を公表した。

Dysphoriaがコマンド基盤の保存にEthereumとSolanaのブロックチェーン・ドメインを用いていることは、マルウェア運用者が従来のテイクダウン手法を回避する方法において、重要なエスカレーションを示している。固定IPアドレスや、レジストラやホスティング事業者が差し押さえ可能な通常のドメイン名に依存する代わりに、このボットネットはブロックチェーンベースの名前解決サービスを問い合わせ、分散型レコードからコマンド情報を取得する。

このボットネットは、以前のマルウェアファミリーであるjackskidとfbotを起源としている。Dysphoriaは、3月19日にJackSkidの基盤を妨害した米国、ドイツ、カナダの合同法執行機関による作戦の数日後に出現した。6日以内に、研究者はEthereum Name Serviceのドメインm3rnbvs5d.ethに関連付けられたDysphoriaのサンプルを捕捉しており、運用者がすでにブロックチェーンベースのコマンド解決へ移行していたことを示している。

ブロックチェーン・ドメインがコマンドサーバーを隠す仕組み

このボットネットは、burrberry.ethやukranianhorseriding.ethといったENSドメイン、さらにSolanaのドメイン24carnforth2merseyside.solを問い合わせ、TXTレコードからコマンド基盤の詳細を取得する。実際のコマンドサーバーのアドレスは、平文のIPアドレスとして保存されていない。代わりに偽のIPv6文字列として表示され、真のターゲットは独自のバイト変換関数で抽出される。

研究者が解析したサンプル文字列12e7:13d7は、復号ルーチンを通すとIPv4アドレス144.31.38.215に解決される。表面的には、ブロックチェーン記録は稼働中のコマンド終端ではなく、無効なIPv6エントリのように見える。この難読化により、攻撃者のサーバーアドレスは基本的なネットワーク検査から隠される。

ブロックチェーンの名前登録簿は、従来のテイクダウン手続きの外側にある。標準的なドメイン差し押さえとは異なり、この基盤を妨害しようとする防御側には、通知先となるレジストラやホスティング事業者が存在しない。ブロックチェーン記録は分散しているため、エントリを取り消したり、別の場所へ転送したりできる単一の権限主体もない。

急速な技術反復と文字列暗号化

2026年3月に最初に確認されて以来、Dysphoriaはわずか4か月の間に頻繁な変化を遂げてきた。3月25日、m3rnbvs5d.ethに結び付いた初期のjackskid亜種は、「android has no compatible libc library」と記されたデバッグ文字列を露出した。4月1日には、研究者がfbot亜種を観測し、実行時に「hail china mainland」と表示したことから、同一エコシステム内の関連しつつも別個の系統であることが示唆された。

4月下旬には、ブロックチェーンによるC2取得ロジックに加えて、独自のRC4ベースの文字列暗号化方式が追加された。改変されたRC4アルゴリズムは、標準的なRC4初期化に加え、2段階の追加フェーズを含む。Linear Congruential GeneratorがS-boxを5回シャッフルし、Linear Feedback Shift Registerがキーストリーム生成中に進行して、最終バイトが適用される前に複雑なビットシフトを実行する。

この多層暗号化により、マルウェア内のすべての文字列は保護され、基本的なリバースエンジニアリング解析では復元できない。大幅に改変された暗号は、静的なシグネチャベース検知を著しく困難にする。5月上旬には、SolanaベースのSNS基盤が現れ、24carnforth2merseyside.solがTXTレコード経由でアセットを配布し、その後6月10日にburrberry.ethが有効化された。

DDoSボットネットからハイブリッド・リレー構成へ

最も重要なアーキテクチャ上の変化は6月25日に起きた。研究者は、すべてのDDoS攻撃モジュールを取り除いたDysphoriaの亜種を捕捉した。このリレー専用サンプルはプロキシノードとしてのみ機能し、感染デバイスを隠れたトラフィック中継点へと変えた。2日後、ボットネットは自動UPnPポートマッピングを追加し、マルウェアが手動設定なしでネットワークゲートウェイを通過できるようにした。

現在のハイブリッドモデルは、DDoS機能を持つサンプルと、侵害されたリレーノードの動的リストを組み合わせている。感染デバイスは実際のコマンドサーバーへトラフィックを中継し、実インフラを直接露出させないよう一段隔てている。この設計により、従来のサーバー差し押さえは大幅に複雑化する。防御側は、単一の終端を押さえるだけではコマンド基盤を停止できないためである。

リレー亜種は、UPnPを使って感染デバイスのローカルゲートウェイ上のポートをマッピングし、Linux epollを使って外部接続とリモートC2サービス間のトラフィックを中継する。この変化は、Dysphoriaの運用者が、法執行機関の措置と業界によるテイクダウンの双方に対してボットネットを強靭化するために大きく投資してきたことを示している。

防御上の優先事項と残る露出

XLabとCNCERTが公表したテレメトリでは、7月14日から20日の間に中国国内で4,401台の稼働確認済みデバイスが記録され、国外では単日ピークとして239,000台のボットが観測された。いずれの数値も独立再現されておらず、研究者は集計や重複排除の方法も公表していない。したがって、これらの数値は正確な台数ではなく推定値として読むべきである。

防御側は、露出しているIoT機器へのパッチ適用、更新不能なデバイスの交換、デフォルトまたは弱い認証情報の排除を優先すべきである。必要のないリモート管理とUPnPを無効化することで、感染リスクは大幅に低下する。この脅威は、ルーター、カメラ、ゲートウェイ、その他の埋め込みLinuxシステムなど、セキュリティ対策が不十分なままオンラインにある機器に影響する。

ブロックチェーンベースのコマンド基盤の採用は、暗号資産技術と従来型マルウェア運用の交差点にある、注目すべき防御回避手法を示している。この設計は、ボットネットが依然としてブロックチェーン記録、到達可能な配布ノード、そして侵害されたリレーに依存しているため、インフラを完全にチェーンから取り除くものではない。しかし、従来のドメイン差し押さえが提供していた単一障害点は排除される。

日本のNICTも2026年5月に、JackSkidからENSおよびSNS基盤への同様の移行を独自に記録しており、複数の研究チームが同じ技術的パターンを観測していたことを確認している。ブロックチェーンベースのコマンド解決への収束は、法執行機関による妨害や業界のテイクダウンに対する耐性を維持する方法として、この手法が今後さらに一般化する可能性を示唆している。