DDoS-botnettet Dysphoria har infisert rundt 200 000 enheter verden over, ifølge cybersikkerhetsforskere som følger den raskt utviklende skadevarefamilien.
Botnettet brukes til distribuerte tjenestenektangrep, DDoS, og videresending av internettrafikk. Operatørene kan enten bruke infiserte enheter til å oversvømme mål med trafikk eller gjøre dem om til proxyservere som videresender internettforbindelser.
Forskere oppdaget Dysphoria for første gang 25. mars. Siden da har skadevaren fått flere oppdateringer som skal gjøre infrastrukturen mer robust og vanskeligere å slå ut.
Blokkjededomener skjuler kommandoserverne
Dysphoria utviklet seg fra tidligere skadevarefamilier kjent som jackskid og fbot. Den bruker imidlertid en mer uvanlig metode for å finne sine command-and-control-servere.
Skadevaren bruker Ethereum Name Service- og Solana Name Service-domener for å hente informasjon om infrastrukturen. Disse blokkjedebaserte domenesystemene kan gjøre botnettets kommandonettverk vanskeligere å spore og stenge ned.
Dysphoria skjuler også adresser til kommandoserverne i falske IPv6-strenger. Skadevaren finner deretter den virkelige adressen gjennom en egen prosess for byte-transformasjon.
Når en enhet er infisert, sender den faste innloggings- og heartbeat-pakker til kommandoserveren. Operatørene kan deretter sende instruksjoner som angir mål, angrepstype, varighet og andre innstillinger for et DDoS-angrep.
Ny variant gjør infiserte enheter til proxyservere
I slutten av juni observerte forskere en nyere variant av Dysphoria som hadde fjernet DDoS-funksjonene helt.
I stedet fokuserer skadevaren på å gjøre kompromitterte enheter om til nettverksproxyer. Den misbruker Universal Plug and Play, UPnP, til å opprette 155 regler for portvideresending på en infisert enhet.
Disse reglene kan eksponere interne tjenester for innkommende internettforbindelser. Det gir angriperne en ny måte å dirigere trafikk gjennom kompromitterte enheter og skjule aktiviteten sin på.
De separate DDoS- og proxyfokuserte variantene tyder på at operatørene utvider mulighetene for å tjene penger på den samme gruppen av infiserte systemer.
Svake passord og gamle sårbarheter driver spredningen
DDoS-botnettet Dysphoria sprer seg ved å angripe svake Telnet- og SSH-påloggingsopplysninger. Det utnytter også kjente sikkerhetssårbarheter i internettilkoblede enheter, blant annet rutere, kameraer og annet IoT-utstyr.
Forskere har knyttet botnettet til forsøk på å utnytte flere nyere sårbarheter. Disse inkluderer CVE-2025-55182, kjent som React2Shell, CVE-2025-34152, CVE-2025-28137 som påvirker Totolink-enheter, og CVE-2025-9528 som påvirker Linksys-produkter.
Dysphoria angriper også eldre sårbarheter som fortsatt ikke er rettet på mange enheter. Disse inkluderer CVE-2017-17215 i Huawei-utstyr og CVE-2020-8515 i DrayTek-enheter.
Mellom 14. og 20. juli registrerte forskerne en topp på 740 000 daglige ping fra infiserte verter. De registrerte også 239 000 forbindelser fra klienter utenfor Kina og rundt 1 800 fra Kina.
Basert på denne aktiviteten anslår forskerne at Dysphoria for øyeblikket kontrollerer rundt 200 000 enheter.
Operatørene hevder DDoS-kapasitet på opptil 4 Tbps
Personene bak Dysphoria hevder at tjenesten deres kan levere DDoS-angrep med en kapasitet på opptil 4 Tbps. De markedsfører den offentlig som en plattform for stresstesting.
Dette er langt under rekorden på 31,4 Tbps som ble knyttet til Aisuru/Kimwolf-botnettet i desember 2025. Likevel kan et angrep på 4 Tbps fortsatt føre til alvorlige forstyrrelser for nettjenester og nettverk.
Brukere kan redusere risikoen for infeksjon ved å holde fastvaren på enhetene oppdatert, endre standardpassord for administratorkontoer og deaktivere fjerntilgang når den ikke er nødvendig. Sterkere sikkerhetsinnstillinger på rutere, kameraer og andre tilkoblede enheter kan også gjøre dem betydelig vanskeligere for botnett å kompromittere.
0 responses to “Dysphoria DDoS-botnett infiserer 200 000 enheter verden over”