En un giro inesperado en el mundo de la seguridad de IoT la red de bots Dysphoria ha adoptado servicios de nombres basados en blockchain para complicar los esfuerzos de interrupción. Esta evolución sigue a una operación de aplicación de la ley en marzo contra la infraestructura de JackSkid otra red de bots IoT.
Investigadores de CNCERT el equipo nacional de respuesta a emergencias informáticas de China, y XLab el laboratorio de inteligencia de amenazas de la firma china Qi’anxin estiman que la población de Dysphoria supera los 200,000 bots. Entre el 14 y el 20 de julio, se registraron 4,401 dispositivos activos confirmados dentro de China y un pico de 239,000 bots en el extranjero en un solo día.
La evolución de Dysphoria y su uso de blockchain
La red de bots Dysphoria ha demostrado una notable capacidad de adaptación. Tras la operación de aplicación de la ley del 19 de marzo, que involucró a las fuerzas del orden de Estados Unidos, Alemania y Canadá, los operadores de Dysphoria migraron a un dominio de Ethereum Name Service (ENS)m3rnbvs5d[.]eth para su comando y control (C2).
XLab descubrió que el registro burrberry[.]eth codifica direcciones IPv4 de nodos de distribución, mientras que 24carnforth2merseyside[.]sol suministra otros registros de infraestructura. Esta estructura permite a los operadores mantener los controladores reales un paso atrás de las direcciones expuestas a los bots, complicando los esfuerzos de interrupción.
La rápida evolución de Dysphoria
La red de bots ha experimentado una rápida evolución en sus construcciones. A finales de abril, se implementó un cifrado de cadenas personalizado con RC4 y resolución ENS. En mayo, se añadió la resolución de Solana Name Service (SNS). A mediados de junio, apareció una variante solo de relay, seguida de la adición de mapeo de puertos basado en UPnP para atravesar las puertas de enlace NAT.
Esta variante solo de relay elimina los módulos de DDoS y utiliza UPnP para mapear puertos en la puerta de enlace local y Linux epoll para trasladar el tráfico entre una conexión externa y un servicio C2 remoto. Esta estrategia complica las incautaciones convencionales de servidores, pero no elimina por completo la infraestructura de la cadena.
Métodos de propagación y objetivos de Dysphoria
Dysphoria se propaga principalmente a través de la suposición de contraseñas débiles en Telnet y SSH así como mediante la explotación de vulnerabilidades conocidas en routers, gateways y cámaras. Una de las vulnerabilidades mencionadas es CVE-2026-9528 una vulnerabilidad de inyección de comandos en el router Linksys E1700 divulgada en agosto de 2026.
Los investigadores señalan que los servicios de internet y los juegos son objetivos casi diarios de Dysphoria. Sin embargo, no se han nombrado víctimas específicas ni se han medido picos de ataque. Los operadores de Dysphoria publicitan ataques de hasta aproximadamente 4 Tbps por decenas a cientos de dólares, aunque estas afirmaciones no han sido verificadas de manera independiente.
En mayo, el NICT de Japón documentó independientemente el cambio de JackSkid a ENS/SNS, encontrando similitudes de código y cadenas con otras familias de botnets. Esto sugiere el uso compartido de herramientas en lugar de la operación de un solo actor.
La red de bots Dysphoria representa un desafío significativo para los defensores de la seguridad de IoT. Se recomienda parchear el equipo IoT expuesto, reemplazar los dispositivos que ya no pueden actualizarse, eliminar las credenciales predeterminadas y débiles, y desactivar la gestión remota y UPnP donde no sean necesarios.
