Auf den Punkt: Das rasch wachsende Botnetz Dysphoria nutzt Blockchain-basierte dezentrale Domains zur C2-Tarnung und infizierte bereits 200.000 Geräte durch Ausnutzung bekannter CVEs und schwacher Credentials.
Das Botnetz Dysphoria hat weltweit etwa 200.000 Geräte infiziert und nutzt dezentrale Domain-Systeme auf Ethereum und Solana für seine Befehls- und Steuerungsarchitektur. Die Malware stammt von älteren Stämmen ab und wird aktiv weiterentwickelt.
Sicherheitsforscher von QiAnXin XLab verfolgen seit dem ersten Quartal 2026 eine aufstrebende Botnetz-Familie namens Dysphoria, die sich aus älteren Malware-Stämmen wie jackskid und fbot entwickelt hat. Das Netzwerk infizierte bereits über 200.000 Geräte und durchläuft kontinuierlich Varianten-Updates und technische Iterationen.
Zur Tarnung der Befehls- und Steuerungsinfrastruktur nutzt Dysphoria dezentrale Domain-Name-Systeme: Ethereum Name Service (ENS) und Solana Name Service (SNS). Die tatsächlichen Serveradressen werden in gefälschten IPv6-Zeichenketten verborgen und mittels eines kundenspezifischen Byte-Transformationsalgorithmus ausgelesen. Infizierte Systeme versenden 78-Byte-Pakete als Anmeldungs- und Herzschlag-Signale an den Befehlsserver und erhalten darüber Kommandos für DDoS-Attacken mit konfigurierbaren Parametern wie Dauer, Angriffstyp und Ziel.
Eine im Juni 2026 identifizierte Variante verzichtete vollständig auf DDoS-Module und wandelte infizierte Geräte stattdessen in Netzwerk-Proxys um. Hierbei werden über UPnP (Universal Plug and Play) 155 Port-Weiterleitungsregeln auf den Zielgeräten installiert. Die initiale Infizierung erfolgt durch schwache Zugangsdaten bei Telnet und SSH sowie durch bekannte Sicherheitslücken: CVE-2025-55182 (React2Shell), CVE-2025-34152 und CVE-2025-28137 (Totolik), CVE-2025-9528 (Linksys), sowie ältere Schwachstellen wie CVE-2017-17215 (Huawei) und CVE-2020-8515 (DrayTek).
Messungen vom 14. bis 20. Juli 2026 zeigten täglich bis zu 740.000 Anfragen von infizierten Systemen. Die Betreiber bewerben den Dienst öffentlich als Belastungstest mit einer angegebenen Angriffsleitung von bis zu 4 Terabit pro Sekunde. Zur Infektionsabwehr empfehlen Experten zeitnahe Firmware-Updates, das Ändern von Standard-Administratorpasswörtern und die Deaktivierung nicht erforderlicher Fernzugriffsfunktionen auf Routern, Kameras und IoT-Geräten.
Quelle: www.it-daily.net · Erschienen 30. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.