Dysphoria s’inscrit dans la continuité de Jackskid et Fbot, deux lignées de botnets conçues pour enrôler des routeurs, des caméras et d’autres équipements connectés mal protégés, puis les mobiliser à distance dans des attaques DDoS.

Le nouveau venu reprend une partie de leur code et de leurs méthodes, mais s’en distingue par la manière dont il dissimule son infrastructure de commande. Les adresses utilisées pour la retrouver sont obfusquées dans des données associées à des domaines enregistrés sur Ethereum et Solana, sous la forme de fausses adresses IPv6. Dysphoria les décode pour contacter un premier nœud, chargé de lui transmettre une liste de relais. D’après XLab, ces relais sont eux-mêmes des machines infectées, derrière lesquelles les opérateurs dissimulent leur véritable infrastructure.

Les opérateurs peuvent ainsi déplacer leur infrastructure plus facilement. Si une adresse est bloquée ou qu’un serveur tombe, il leur suffit de modifier les informations associées à leurs domaines pour rediriger les appareils infectés, sans toucher au malware déjà installé.

Pour grossir ses rangs, Dysphoria teste des identifiants Telnet ou SSH trop faibles et exploite des failles touchant de nombreux équipements connectés. Il cible aussi bien des vulnérabilités récentes que des brèches documentées depuis plusieurs années, toujours exploitables sur des appareils jamais mis à jour.

XLab estime qu’environ 200 000 appareils sont aujourd’hui compromis. Les opérateurs revendiquent une capacité maximale de 4 Tbit/s, qui permettrait en théorie de lancer des attaques DDoS assez puissantes pour mettre hors ligne de nombreux services, mais pas seulement. Fin juin, les chercheurs ont en effet repéré une variante qui délaisse complètement les DDoS pour transformer les équipements infectés en relais réseau. Les pirates peuvent alors faire circuler leur trafic par la connexion des victimes, en masquer l’origine et apparaître en ligne sous leur adresse IP.

Cette version détourne aussi l’UPnP, normalement utilisé pour permettre aux appareils d’ouvrir automatiquement les ports dont ils ont besoin sur un routeur. Dysphoria s’en sert pour créer 155 règles de redirection de ports vers la machine compromise, qui devient alors joignable depuis Internet et peut faire transiter les connexions de ses opérateurs.