Новиот DDoS ботнет Dysphoria се прошири на 200.000 уреди ширум светот

Ботнет наречен Dysphoria компромитирал околу 200.000 уреди низ целиот свет и ги користи за изведување дистрибуирани напади со одбивање на услуга (Distributed Denial-of-Service – DDoS), како и за операции за пренасочување на мрежен сообраќај (traffic relay).

Според истражувачите од QiAnXin XLab, Dysphoria еволуирал од малициозните програми jackskid и fbot, при што е надграден со скриен механизам за откривање на командно-контролни (C2) сервери базиран на блокчејн технологија.

Поточно, ботнетот ги користи Ethereum ENS (Ethereum Name Service) и Solana SNS (Solana Name Service) домените за преземање информации за својата инфраструктура, додека адресите на C2 серверите се сокриени во лажни IPv6 низи и се реконструираат со помош на сопствен алгоритам за трансформација на бајти.

Истражувачите првпат го забележале Dysphoria на 25 март, а потоа идентификувале повеќе негови верзии кои вовеле значајни подобрувања, меѓу кои:

• нов алгоритам за пронаоѓање на C2 серверите;
• поддршка за повеќе блокчејн мрежи;
• нови домени;
• функционално раздвојување помеѓу варијантите за пренасочување на сообраќај и оние наменети за DDoS напади.

„Од првиот квартал на 2026 година, XLab континуирано следи ново семејство на ботнети наречено Dysphoria, чиј број на заразени уреди надминува 200.000“, се наведува во извештајот на XLab.

„За само неколку месеци, ова семејство претрпе чести ажурирања на своите варијанти и технички подобрувања, покажувајќи исклучително висока отпорност.“

Користењето на блокчејн технологија за командно-контролна комуникација ја прави инфраструктурата на ботнетот значително потешка за следење, анализирање и демонтирање од страна на безбедносните истражувачи и органите за спроведување на законот.

Според анализата на истражувачите, заразените уреди испраќаат фиксни пакети од 78 бајти до C2 серверот при најавување и како периодични „heartbeat“ пораки за потврда дека се активни. За возврат, операторите на ботнетот испраќаат команди за изведување DDoS напади, кои содржат информации за:

• времетраењето на нападот;
• типот на нападот;
• целната адреса или систем;
• дополнителни параметри и конфигурациски опции.

Кон крајот на јуни, XLab забележал нова варијанта на Dysphoria која е насочена исклучиво кон претворање на заразените уреди во мрежни прокси-сервери (network proxies), при што целосно ја отстранила функционалноста за изведување DDoS напади.

Малициозниот софтвер ја злоупотребува функцијата UPnP (Universal Plug and Play) на компромитираниот уред за да креира 155 правила за пренасочување на порти (port forwarding), со што внатрешните сервиси на уредот стануваат достапни за дојдовни интернет-конекции.

Според извештајот на XLab, ботнетот се шири преку:

• слаби Telnet и SSH кориснички лозинки;
• познати безбедносни ранливости во рутери, IP-камери и други IoT (Internet of Things) уреди.

Искористени ранливости

Меѓу поновите ранливости што ги експлоатира Dysphoria се:

• CVE-2025-55182 („React2Shell“)
• CVE-2025-34152
• CVE-2025-28137 (Totolink)
• CVE-2025-9528 (Linksys)

Покрај нив, ботнетот продолжува да ги злоупотребува и постарите ранливости кои сè уште не се закрпени кај голем број уреди, како што се:

• CVE-2017-17215 (Huawei)
• CVE-2020-8515 (DrayTek)

Обем на ботнетот

Во периодот од 14 до 20 јули, XLab го следел работењето на ботнетот и регистрирал:

• максимум од 740.000 дневни „ping“ барања испратени од заразените уреди;
• околу 239.000 конекции од странски клиенти;
• приближно 1.800 конекции од Кина.

Врз основа на овие податоци, истражувачите со голема сигурност проценуваат дека во моментов ботнетот контролира околу 200.000 заразени уреди.

Моќ за DDoS напади

Во однос на капацитетот за изведување DDoS напади, операторите на Dysphoria на својата јавно достапна веб-страница (clearnet site) тврдат дека ботнетот може да генерира напади со пропусен опсег до 4 Tbps (терабити во секунда).

На истата страница услугата се рекламира како легитимна алатка за тестирање на отпорноста на системите на оптоварување (stress-testing service), иако ваквите услуги честопати се злоупотребуваат за изведување вистински DDoS напади.

Иако наведениот капацитет од 4 Tbps е значително помал од моменталниот рекорд од 31,4 Tbps, постигнат од ботнетот Aisuru/Kimwolf во декември 2025 година, тој сè уште е доволен за да предизвика сериозни прекини и нарушувања во работата на мрежи, веб-страници и онлајн услуги.

Како да се заштитите од ботнет инфекции

Корисниците можат значително да го намалат ризикот од заразување на своите уреди со ботнет доколку ги применуваат следните безбедносни мерки:

• Редовно ажурирајте го фирмверот на рутерите, IP-камерите и другите IoT уреди со најновите безбедносни поправки.
• Променете ја стандардната администраторска лозинка веднаш по инсталацијата на уредот и користете силни, уникатни лозинки.
• Оневозможете далечински пристап (remote access) доколку не е неопходен за секојдневното користење.
• Зајакнете ги безбедносните поставки на уредите каде што е можно, како што се ограничување на пристапот, исклучување на непотребните сервиси (на пример, Telnet или UPnP кога не се потребни) и користење на современи механизми за автентикација.

Примената на овие мерки значително ја намалува можноста напаѓачите да ги компромитираат уредите и да ги вклучат во ботнети како Dysphoria.

Извори:

• Bleeping Computer – New Dysphoria DDoS botnet spreads to 200k devices worldwide Bleeping Computer