サイバーセキュリティ研究者は、Dysphoriaとして知られる高度なボットネットを特定した。このボットネットは世界中で約200,000台のデバイスに侵害を与えており、EthereumとSolanaのネットワーク上のブロックチェーンベースのドメイン名を用いて、コマンド＆コントロール（C2）インフラを隠蔽している。今回の発見はQiAnXin XLabと中国国家コンピュータネットワーク緊急対応技術チーム/調整センター（CNCERT）が共同で公表したもので、マルウェアの急速な技術進化と高度化を浮き彫りにした。

コマンド基盤の隠蔽にEthereumとSolanaのドメインを使用

研究者によると、Dysphoriaは以前のjackskidおよびfbotマルウェアファミリーから進化した。QiAnXin XLabが2026年3月に初めて検出して以来、わずか数か月の間に複数回のアップグレードが行われ、より強力な暗号化技術、ブロックチェーンベースのコマンドサーバー探索、そして侵害システムを秘匿プロキシノードへ変える専用のリレー亜種が組み込まれた。

研究者は、Dysphoriaが世界で約200,000台のデバイスに感染し、現在はEthereum Name Service（ENS）およびSolana Name Service（SNS）のドメインを使ってコマンド＆コントロール基盤を隠しているため、検出が大幅に困難になっていると報告した。

QiAnXin XLabは、2026年第1四半期からDysphoriaを追跡しており、その期間中に頻繁な変異と技術的強化を観測したと述べた。研究者は、このマルウェアが継続的な開発を通じて高い耐性を示し、複数の亜種へと進化しながら、ブロックチェーンベースのコマンド解決を導入し、感染デバイスをリレーノードへ変えることで機能を拡張したと指摘した。

最も重要な技術的進展の1つは、マルウェアのコマンドサーバー解決メカニズムにある。Dysphoriaは、コマンドサーバーのアドレスを悪意あるコードに直接埋め込んだり、従来のドメインネームサービスに依存したりする代わりに、burrberry.ethやukranianhorseriding.ethなどのEthereum Name Serviceドメインと、Solana Name Serviceドメインを照会する。これらのドメインには、IPv6アドレスを保存しているように見える特殊なTXTレコードが含まれているが、実際にはカスタマイズされたバイト変換処理によって真のインターネットプロトコル（IP）アドレスを隠している。その結果、マルウェアはコード内や通常のネットワークトラフィックのいずれにおいても、実際のサーバー位置を露出させない。

報告書はまた、マルウェアの暗号化手法に大きな変更があったことも強調した。DysphoriaはRC4暗号アルゴリズムを大幅に改変した実装を取り入れ、標準設計を超える追加の処理段階を導入している。研究者によれば、このマルウェアはキーストリーム生成時に線形合同法（LCG）と反復的なS-boxシャッフル、さらに線形帰還シフトレジスタ（LFSR）を組み合わせており、暗号化された文字列の解析を従来のマルウェア検査手法では著しく困難にしている。その結果、標準的な文字列スキャンツールでは、セキュリティアナリストにとって有用な情報はほとんど得られない。

最新のDysphoria亜種は、カスタマイズされたRC4暗号化、ブロックチェーンベースのコマンド解決、暗号化された文字列保護を組み合わせており、マルウェア解析とインフラ検出への耐性を大幅に高めている。

研究者はまた、6月25日に出現した新たなリレー特化型亜種も特定した。分散型サービス拒否（DDoS）攻撃モジュールを含んでいた以前のバージョンとは異なり、この更新版は主に感染デバイスを隠れたリレーサーバーへ変換する。システムを侵害した後、マルウェアはUniversal Plug and Play（UPnP）リクエストを通じてローカルネットワークゲートウェイを発見し、自動的に最大155件のポートフォワーディングルールを設定する。

このリレーアーキテクチャにより、侵害されたデバイスはLinuxの高性能な非同期入出力フレームワークを使って、攻撃者と遠隔コマンドサーバー間のネットワークトラフィックを透過的に中継できる。研究者は、各リレーノードが接続統計や帯域幅情報を含むステータスレポートを4秒ごとに集中型のハートビートサーバーへ定期送信すると説明した。この設計により、DDoSボットが実際のコマンドサーバーと直接通信することを防ぎ、代わりに中継役として機能する他の感染システムを経由してトラフィックをルーティングする。

7月14日から7月20日にかけての監視では、感染ホストからの1日あたりの通信量のピークとして約740,000件のpingが記録された。その期間、研究者は1日あたり最大239,000台の海外で稼働するデバイスと、1,801台の中国国内で稼働するデバイスを観測しており、ボットネットの広範な世界的展開を示している。

調査ではさらに、Dysphoriaが弱いTelnetおよびSecure Shell（SSH）の認証情報を悪用し、ルーター、監視カメラ、Internet of Things（IoT）デバイスに影響する多数の既知の脆弱性を利用して拡散していることも明らかになった。マルウェアは、最近公表された脆弱性と、広く展開されている多くのシステムで未修正のまま残っている古い欠陥の両方を標的にしている。

研究者はさらに、Dysphoriaの運用者が、最大4 terabits per secondの攻撃 क्षमताを提供できるDDoS-for-hireサービスを宣伝し、世界の複数業種の組織に対してほぼ継続的な攻撃を行っていると報告した。

報告書は、Dysphoriaが、ブロックチェーン技術、高度な暗号化、リレーベースのインフラ、そして積極的な拡散手法を組み合わせた、ますます成熟したサイバー犯罪活動であり、その世界的な活動を特定・阻止しようとするサイバーセキュリティ防御側にとって、課題が拡大していると結論付けた。