Aumento del riesgo por la nueva botnet Dysphoria IoT con C2 en blockchain
Publicado el
Nuevas características de la botnet Dysphoria IoT
La botnet Dysphoria, un grupo de dispositivos de Internet de las Cosas (IoT) monitorizado por CNCERT y XLab, ha introducido servicios de nombres basados en blockchain y relays de dispositivos infectados. Este cambio se produce tras una operación policial en marzo que afectó a la infraestructura de JackSkid.
Los investigadores indican que este diseño incrementa la dificultad para desmantelar la botnet. Según los informes, la población de Dysphoria supera los 200,000 bots, con 4,401 dispositivos activos confirmados dentro de China entre el 14 y el 20 de julio, y un pico de 239,000 bots en el extranjero en un solo día. Sin embargo, estas cifras no han sido reproducidas de forma independiente y la metodología de conteo no ha sido publicada, por lo que deben ser consideradas con cautela.
Impacto de la interrupción de JackSkid
La botnet Dysphoria tiene vínculos directos con JackSkid, uno de los cuatro grupos de bots IoT que fueron objeto de acciones coordinadas de las fuerzas del orden de Estados Unidos, Alemania y Canadá el 19 de marzo. Documentos judiciales atribuyen más de 90,000 comandos DDoS a JackSkid. Pocos días después de la operación, se observó que el operador de JackSkid recurría a un dominio en el Ethereum Name Service (ENS), lo que indica un cambio en su infraestructura de comando y control (C2).
Un análisis de XLab revela que el primer ejemplo de Dysphoria fue capturado el 25 de marzo, seis días después de la interrupción, utilizando el mismo dominio para resolver su C2. Este cambio permite que los controladores de la botnet permanezcan separados de las direcciones expuestas a los bots, lo que dificulta aún más su neutralización.
Evolución y características técnicas
La investigación de XLab, publicada el 25 de julio, detalla una rápida evolución de las características de Dysphoria, que incluyen encriptación personalizada y resolución de ENS. Un variante de solo relay fue observada el 25 de junio, con la funcionalidad de mapeo de puertos basada en UPnP añadida poco después. Este enfoque permite que los dispositivos infectados actúen como relays, dirigiendo el tráfico a los verdaderos controladores, complicando así la toma de control del servidor convencional.
Aunque el uso de blockchain y relays de víctimas complica la intercepción de la botnet, la infraestructura sigue dependiendo de registros en blockchain y nodos de distribución comprometidos. Investigaciones independientes de Japón han confirmado el mismo cambio hacia ENS/SNS en mayo, sugiriendo una tendencia general en la evolución de estas botnets.
Métodos de propagación y vulnerabilidades
XLab y CNCERT han señalado que Dysphoria se propaga principalmente a través de la conjetura de contraseñas débiles de Telnet y SSH, así como mediante varias vulnerabilidades conocidas de ejecución remota de código en dispositivos IoT, como *CVE-2025-9528*, una vulnerabilidad en routers Linksys. Esta situación pone de manifiesto la importancia de que los defensores parcheen dispositivos expuestos, eliminen credenciales débiles y desactiven la gestión remota innecesaria.
Conclusiones
A pesar de que Dysphoria ataca objetivos de servicios de internet y juegos casi a diario, no se han nombrado víctimas o se han medido picos de ataque específicos. La botnet afirma poder llevar a cabo ataques de hasta 4 Tbps por precios que van desde decenas a cientos de euros, aunque estas afirmaciones no han sido verificadas. La comunidad de ciberseguridad continúa vigilando estas amenazas, que siguen evolucionando y adaptándose a las medidas de defensa implementadas.