Thought Leadership
Das Botnetz Dysphoria hat rund 200.000 Geräte infiziert. Die Schadsoftware nutzt Blockchain-Domänen zur Tarnung und führt DDoS-Angriffe aus.
Sicherheitsforscher von QiAnXin XLab haben die Ausbreitung einer aufstrebenden Schadsoftware-Familie namens Dysphoria analysiert. Das Botnetz entwickelte sich aus den älteren Malware-Stämmen jackskid und fbot weiter und infizierte weltweit bereits rund 200.000 Geräte. Für die Befehls- und Steuerungsarchitektur (C2) nutzt Dysphoria dezentrale Domain-Name-Systeme auf Basis der Blockchains Ethereum (ENS) und Solana (SNS). Die eigentlichen Serveradressen werden dabei in gefälschten IPv6-Zeichenketten verborgen und über einen kundenspezifischen Byte-Transformationsalgorithmus ausgelesen. Zu der Nachverfolgung erklärten die Forscher von XLab:
„Seit dem ersten Quartal 2026 hat XLAB kontinuierlich eine aufstrebende Botnetz-Familie namens Dysphoria verfolgt, deren Bot-Anzahl 200.000 übersteigt. In nur wenigen Monaten hat die Familie häufige Varianten-Updates und technische Iterationen durchlaufen, was eine extrem starke Widerstandsfähigkeit zeigt.“
Sicherheitsforscher von QiAnXin XLab
Funktionsweise, Proxy-Module und genutzte Schwachstellen
Infizierte Systeme senden ein festes, 78 Byte großes Paket zur Anmeldung und als Herzschlag-Signal an den Befehlsserver zurück. Darüber empfangen sie Befehle für Distributed-Denial-of-Service-Angriffe (DDoS) inklusive Angaben zu Dauer, Angriffstyp, Ziel und konfigurierbaren Parametern. Eine Ende Juni 2026 identifizierte Variante verzichtete vollständig auf DDoS-Funktionen und diente ausschließlich der Umwandlung infizierter Geräte in Netzwerk-Proxys. Hierbei missbraucht die Software das Protokoll UPnP (Universal Plug and Play), um 155 Port-Weiterleitungsregeln auf den Geräten anzulegen.
Die Infektion von Routern, Kameras und IoT-Geräten erfolgt über schwache Zugangsdaten bei Telnet und SSH sowie über Sicherheitslücken. Zu den ausgenutzten Schwachstellen gehören:
- CVE-2025-55182 (React2Shell)
- CVE-2025-34152 und CVE-2025-28137 (Totolink)
- CVE-2025-9528 (Linksys)
- Ältere Sicherheitslücken wie CVE-2017-17215 (Huawei) und CVE-2020-8515 (DrayTek)
Ausmaß der Aktivität und Schutzmaßnahmen
Bei Messungen im Zeitraum vom 14. bis 20. Juli 2026 registrierte XLab in der Spitze 740.000 tägliche Anfragen von infizierten Systemen. Betreiber des Botnetzes bewerben den Dienst auf einer Webseite im frei zugänglichen Internet als angeblichen Belastungstest mit einer Angriffsleitung von bis zu 4 Terabit pro Sekunde (Tbps).
Zur Abwehr von Infektionen empfehlen Sicherheitsexperten die zeitnahe Einspielung von Firmware-Updates, das Ändern von Standard-Administratorpasswörtern sowie die Deaktivierung nicht benötigter Fernzugriffsfunktionen.
(red)
