Dysphoria DDoS-botnet inficerer 200.000 enheder verden over

DDoS-botnettet Dysphoria har inficeret omkring 200.000 enheder verden over, ifølge cybersikkerhedsforskere, der følger den hurtigt udviklende malwarefamilie.

Botnettet bruges til distribuerede denial-of-service-angreb, DDoS, og videresendelse af internettrafik. Operatørerne kan enten bruge inficerede enheder til at oversvømme mål med trafik eller omdanne dem til proxyservere, der videresender internetforbindelser.

Forskere opdagede Dysphoria første gang den 25. marts. Siden da har malwaren fået flere opdateringer, der skal gøre infrastrukturen mere robust og vanskeligere at lukke ned.

Blockchain-domæner skjuler kommandoserverne

Dysphoria udviklede sig fra tidligere malwarefamilier kendt som jackskid og fbot. Den bruger dog en mere usædvanlig metode til at finde sine command-and-control-servere.

Malwaren bruger Ethereum Name Service- og Solana Name Service-domæner til at hente oplysninger om infrastrukturen. Disse blockchain-baserede domænesystemer kan gøre botnettets kommandonetværk vanskeligere at spore og lukke ned.

Dysphoria skjuler også adresserne på kommandoserverne i falske IPv6-strenge. Malwaren genskaber derefter den rigtige adresse gennem en særlig byte-transformationsproces.

Når en enhed er inficeret, sender den faste login- og heartbeat-pakker til kommandoserveren. Operatørerne kan derefter sende instruktioner, der angiver mål, angrebstype, varighed og andre indstillinger for et DDoS-angreb.

Ny variant gør inficerede enheder til proxyservere

I slutningen af juni observerede forskere en nyere variant af Dysphoria, som helt havde fjernet DDoS-funktionerne.

I stedet fokuserer malwaren på at omdanne kompromitterede enheder til netværksproxyer. Den misbruger Universal Plug and Play, UPnP, til at oprette 155 regler for portvideresendelse på en inficeret enhed.

Disse regler kan eksponere interne tjenester for indgående internetforbindelser. Det giver angriberne endnu en måde at dirigere trafik gennem kompromitterede enheder og skjule deres aktivitet.

De separate DDoS- og proxyfokuserede varianter tyder på, at operatørerne udvider deres muligheder for at tjene penge på den samme gruppe af inficerede systemer.

Svage adgangskoder og gamle sårbarheder driver spredningen

DDoS-botnettet Dysphoria spreder sig ved at angribe svage Telnet- og SSH-loginoplysninger. Det udnytter også kendte sikkerhedssårbarheder i internetforbundne enheder, herunder routere, kameraer og andet IoT-udstyr.

Forskere har knyttet botnettet til forsøg på at udnytte flere nyere sårbarheder. Disse omfatter CVE-2025-55182, kendt som React2Shell, CVE-2025-34152, CVE-2025-28137, der påvirker Totolink-enheder, og CVE-2025-9528, der påvirker Linksys-produkter.

Dysphoria angriber også ældre sårbarheder, som stadig ikke er blevet rettet på mange enheder. Disse omfatter CVE-2017-17215 i Huawei-udstyr og CVE-2020-8515 i DrayTek-enheder.

Mellem den 14. og 20. juli registrerede forskerne et højdepunkt på 740.000 daglige pings fra inficerede værter. De registrerede også 239.000 forbindelser fra klienter uden for Kina og omkring 1.800 fra Kina.

På baggrund af denne aktivitet vurderer forskerne, at Dysphoria i øjeblikket kontrollerer omkring 200.000 enheder.

Operatørerne hævder DDoS-kapacitet på op til 4 Tbps

Personerne bag Dysphoria hævder, at deres tjeneste kan levere DDoS-angreb med en kapacitet på op til 4 Tbps. De markedsfører den offentligt som en platform til stresstest.

Det er langt under rekorden på 31,4 Tbps, som blev tilskrevet Aisuru/Kimwolf-botnettet i december 2025. Alligevel kan et angreb på 4 Tbps stadig forårsage alvorlige forstyrrelser for onlinetjenester og netværk.

Brugere kan reducere risikoen for infektion ved at holde enhedernes firmware opdateret, ændre standardadgangskoder til administratorkonti og deaktivere fjernadgang, når den ikke er nødvendig. Stærkere sikkerhedsindstillinger på routere, kameraer og andre forbundne enheder kan også gøre dem betydeligt sværere for botnets at kompromittere.