Dysphoria, una línea de botnets para Internet de las Cosas (IoT) rastreada por CNCERT y XLab, ha incorporado servicios de nombres basados en blockchain y repetidores desde dispositivos infectados después de una operación policial en marzo contra la infraestructura de JackSkid. Los investigadores señalan que este diseño dificulta la interrupción del botnet.
CNCERT, el equipo de respuesta a emergencias informáticas de China, y XLab, el laboratorio de inteligencia de amenazas de la firma china Qi'anxin, estiman que la población de bots supera los 200.000. Su telemetría registró 4.401 dispositivos activos confirmados dentro de China entre el 14 y 20 de julio, y un pico de 239.000 bots en el extranjero en un solo día.
Ninguna de las cifras ha sido reproducida de forma independiente. Los investigadores no publicaron metodología de recuento ni deduplicación, por lo que los números no deben interpretarse como un censo preciso de dispositivos.
Se recomienda a los defensores parchear equipos IoT expuestos, reemplazar dispositivos que ya no puedan actualizarse, eliminar credenciales predeterminadas y débiles, y deshabilitar la administración remota y UPnP donde no sean necesarios.
El linaje se remonta a JackSkid, uno de los cuatro botnets IoT atacados en acciones coordinadas de aplicación de la ley de EE.UU., Alemania y Canadá el 19 de marzo. Documentos judiciales atribuyeron más de 90.000 comandos DDoS solo a JackSkid.
En cuestión de días, Nokia Deepfield y el laboratorio de amenazas de Comcast documentaron que el operador recurrió a un dominio Ethereum Name Service (ENS), m3rnbvs5d[.]eth, para el comando y control (C2). La línea de tiempo de XLab sobre Dysphoria comienza con una muestra de JackSkid capturada el 25 de marzo, seis días después de la interrupción, que resuelve C2 a través del mismo dominio.
XLab descubrió que el registro burrberry[.]eth codifica direcciones IPv4 de nodos de distribución, mientras que 24carnforth2merseyside[.]sol suministra otros registros de infraestructura. La muestra de DDoS solicita a un nodo de distribución, mediante HTTP, una lista actualizada de servidores, y los endpoints listados son máquinas infectadas que retransmiten tráfico hacia los controladores reales. Este diseño mantiene a esos controladores a un paso de distancia de las direcciones expuestas a los bots.
El análisis de XLab, publicado el 25 de julio, rastrea una rápida secuencia de compilaciones: cifrado RC4 personalizado y resolución ENS a finales de abril, seguidos de resolución Solana Name Service (SNS) a principios de mayo. Una variante solo de repetidor apareció el 25 de junio, con mapeo de puertos basado en UPnP añadido días después para atravesar puertas de enlace NAT.
La compilación solo de repetidor elimina los módulos DDoS y, en su lugar, utiliza UPnP para mapear puertos en la puerta de enlace local y epoll de Linux para transportar tráfico entre una conexión externa y un servicio C2 remoto. XLab documentó que el botnet relacionado Kimwolf usaba C2 basado en ENS a finales del año pasado. Dysphoria combina el mismo modelo de resolución con una malla de repetidores construida a partir de sus propias víctimas.
Este cambio complica una incautación convencional de servidores, pero no elimina la infraestructura de la cadena: el botnet sigue dependiendo de registros blockchain, nodos de distribución accesibles y repetidores comprometidos.
El NICT de Japón documentó de forma independiente el mismo cambio de JackSkid a ENS/SNS en mayo, y, como Nokia y Comcast, encontró código y cadenas compartidas con varias otras familias de botnets. Esta superposición apunta a herramientas compartidas, no a la prueba de un solo operador, y ninguno de los investigadores lo nombra.
XLab y CNCERT afirman que Dysphoria se propaga mediante adivinación de contraseñas débiles en Telnet y SSH, y un conjunto de vulnerabilidades conocidas de ejecución remota de código en routers, puertas de enlace y cámaras IoT. Un ejemplo presente en ambas listas publicadas es CVE-2025-9528, una vulnerabilidad de inyección de comandos en Linksys E1700 divulgada en agosto de 2025 con un exploit público.
El proveedor no respondió al informe original. El vector CVSS de NVD califica la falla como de altos privilegios, y ninguna publicación explica cómo encaja en la cadena de propagación del botnet.
Una comparación realizada por The Hacker News encontró que la publicación de XLab y un aviso reflejado de CNCERT publican listas de vulnerabilidades diferentes a pesar de presentar la misma investigación conjunta. Ambos coinciden en que las credenciales débiles de Telnet y SSH siguen siendo la vía de entrada más consistente.
XLab afirma que Dysphoria ataca objetivos de servicios de Internet y juegos casi a diario, pero no nombra víctimas ni picos medidos. El escaparate anuncia ataques de hasta aproximadamente 4 Tbps por decenas a cientos de dólares, pero se trata de una afirmación del operador, no de un ataque medido.
Cloudflare midió un ataque de 31.4 Tbps del botnet relacionado AISURU/Kimwolf antes de la interrupción de marzo. CNCERT, XLab y la investigación anterior de JackSkid no nombran a ningún operador. Ninguna fuente independiente ha medido un pico de ataque de Dysphoria ni ha confirmado la escala reportada de 200.000 dispositivos.
