Dysphoria-DDoS-Botnetz infiziert weltweit 200.000 Geräte

Das DDoS-Botnetz Dysphoria hat weltweit rund 200.000 Geräte infiziert, wie Cybersicherheitsforscher berichten, die die sich schnell entwickelnde Malware-Familie beobachten.

Das Botnetz wird für Distributed-Denial-of-Service-Angriffe (DDoS) und zur Weiterleitung von Internetverkehr eingesetzt. Die Betreiber können infizierte Geräte entweder nutzen, um Ziele mit Datenverkehr zu überlasten, oder sie in Proxyserver verwandeln, über die Internetverbindungen weitergeleitet werden.

Forscher entdeckten Dysphoria erstmals am 25. März. Seitdem erhielt die Malware mehrere Updates, die ihre Infrastruktur widerstandsfähiger und schwerer zu zerschlagen machen sollen.

Blockchain-Domains verbergen Command-and-Control-Server

Dysphoria entwickelte sich aus früheren Malware-Familien namens jackskid und fbot. Allerdings nutzt die Schadsoftware eine ungewöhnlichere Methode, um ihre Command-and-Control-Server zu finden.

Die Malware verwendet Domains des Ethereum Name Service und Solana Name Service, um Informationen über ihre Infrastruktur abzurufen. Diese Blockchain-basierten Domain-Systeme können es erschweren, das Befehlsnetzwerk des Botnetzes aufzuspüren und abzuschalten.

Dysphoria verbirgt außerdem Adressen seiner Command-and-Control-Server in gefälschten IPv6-Zeichenfolgen. Die Malware rekonstruiert anschließend die tatsächliche Adresse mithilfe eines eigenen Byte-Transformationsverfahrens.

Nach der Infektion senden Geräte fest definierte Anmelde- und Heartbeat-Pakete an den Command-and-Control-Server. Die Betreiber können anschließend Anweisungen übermitteln, die das Ziel, die Angriffsart, die Dauer und weitere Einstellungen für einen DDoS-Angriff festlegen.

Neue Variante verwandelt infizierte Geräte in Proxys

Ende Juni beobachteten Forscher eine neuere Dysphoria-Variante, bei der die DDoS-Funktionen vollständig entfernt worden waren.

Stattdessen konzentriert sich die Malware darauf, kompromittierte Geräte in Netzwerk-Proxys umzuwandeln. Dazu missbraucht sie Universal Plug and Play (UPnP), um auf einem infizierten Gerät 155 Portweiterleitungsregeln einzurichten.

Diese Regeln können interne Dienste für eingehende Internetverbindungen zugänglich machen. Dadurch erhalten Angreifer eine weitere Möglichkeit, Datenverkehr über kompromittierte Geräte zu leiten und ihre Aktivitäten zu verschleiern.

Die getrennten DDoS- und Proxy-Varianten deuten darauf hin, dass die Betreiber ihre Möglichkeiten erweitern, mit demselben Bestand infizierter Systeme Geld zu verdienen.

Schwache Zugangsdaten und alte Sicherheitslücken fördern Verbreitung

Das Dysphoria-DDoS-Botnetz verbreitet sich, indem es schwache Telnet- und SSH-Zugangsdaten angreift. Außerdem nutzt es bekannte Sicherheitslücken in internetfähigen Geräten wie Routern, Kameras und anderer IoT-Hardware aus.

Forscher brachten das Botnetz mit Versuchen in Verbindung, mehrere neuere Schwachstellen auszunutzen. Dazu gehören CVE-2025-55182, bekannt als React2Shell, CVE-2025-34152, CVE-2025-28137 in Totolink-Geräten sowie CVE-2025-9528 in Linksys-Produkten.

Dysphoria greift außerdem ältere Schwachstellen an, die auf vielen Geräten weiterhin nicht gepatcht wurden. Dazu gehören CVE-2017-17215 in Huawei-Geräten und CVE-2020-8515 in DrayTek-Produkten.

Zwischen dem 14. und 20. Juli registrierten die Forscher einen Höchststand von 740.000 täglichen Pings infizierter Hosts. Zudem beobachteten sie 239.000 Verbindungen von Clients außerhalb Chinas und rund 1.800 aus China.

Auf Grundlage dieser Aktivitäten schätzen die Forscher, dass Dysphoria derzeit rund 200.000 Geräte kontrolliert.

Betreiber behaupten DDoS-Kapazität von bis zu 4 Tbps

Die Betreiber von Dysphoria behaupten, dass ihr Dienst DDoS-Angriffe mit einer Kapazität von bis zu 4 Tbps durchführen könne. Öffentlich bewerben sie ihn als Plattform für Stresstests.

Dieser Wert liegt deutlich unter dem Rekord von 31,4 Tbps, der im Dezember 2025 dem Aisuru/Kimwolf-Botnetz zugeschrieben wurde. Dennoch könnte auch ein Angriff mit 4 Tbps erhebliche Störungen bei Onlinediensten und Netzwerken verursachen.

Nutzer können das Infektionsrisiko reduzieren, indem sie die Firmware ihrer Geräte aktuell halten, voreingestellte Administratorpasswörter ändern und den Fernzugriff deaktivieren, wenn er nicht benötigt wird. Strengere Sicherheitseinstellungen auf Routern, Kameras und anderen vernetzten Geräten können es Botnetzen ebenfalls deutlich erschweren, diese zu kompromittieren.