Botnet bernama Dysphoria telah menyusupi sekitar 200.000 perangkat di seluruh dunia dan menggunakannya untuk serangan penolakan layanan terdistribusi (DDoS) dan operasi relai lalu lintas.
Menurut peneliti keamanan siber QiAnXin XLab, Dysphoria berevolusi dari ‘jackskid‘ Dan ‘fbot‘ malware dengan menambahkan mekanisme resolusi perintah dan kontrol (C2) berbasis blockchain yang rahasia.
Secara khusus, botnet menggunakan domain Ethereum ENS dan Solana SNS untuk mengambil informasi infrastruktur, sementara alamat C2 disembunyikan di dalam string IPv6 palsu dan dipulihkan menggunakan algoritma transformasi byte khusus.
Para peneliti pertama kali melihat Dysphoria pada tanggal 25 Maret dan mengidentifikasi beberapa iterasi yang menambahkan pembaruan yang berarti, seperti algoritme akuisisi C2, dukungan multi-rantai, domain baru, dan pemisahan fungsional antara varian relai dan DDoS.
“Sejak kuartal pertama tahun 2026, XLAB terus melacak munculnya keluarga botnet bernama Dysphoria, yang jumlah botnya melebihi 200.000,” membaca laporan XLab.
“Hanya dalam beberapa bulan, keluarga ini telah sering mengalami pembaruan varian dan pengulangan teknis, yang menunjukkan ketahanan yang sangat kuat.”
Penggunaan blockchain dalam operasi C2 membuat keseluruhan infrastruktur lebih sulit dilacak dan dibongkar.
Berdasarkan analisis peneliti, klien yang terinfeksi mengirim paket login dan detak jantung tetap 78-byte kembali ke C2 dan menerima perintah serangan DDoS dari operator yang mencakup durasi, jenis, target, dan tanda yang dapat dikonfigurasi.
Sumber: XLAB
Pada akhir Juni, XLab mengamati varian yang hanya berfokus pada transformasi perangkat yang terinfeksi menjadi proxy jaringan, dan sepenuhnya membuang fungsionalitas DDoS.
Malware tersebut menyalahgunakan UPnP (Universal Plug and Play) pada perangkat yang disusupi untuk membuat 155 aturan penerusan port guna mengekspos layanan internal ke koneksi internet masuk.
Laporan XLab mencatat bahwa botnet menyebar melalui kredensial Telnet dan SSH yang lemah serta kerentanan yang diketahui di router, kamera, dan berbagai perangkat IoT.
Di antara kelemahan terbaru yang dieksploitasi adalah CVE-2025-55182 (“React2Shell“), CVE-2025-34152, CVE-2025-28137 (Totolink), dan CVE-2025-9528 (Linksys). Namun, Dysphoria juga menargetkan kelemahan lama yang masih bertahan di banyak perangkat, seperti CVE-2017-17215 (Huawei) dan CVE-2020-8515 (DrayTek).
XLab memantau botnet antara tanggal 14 dan 20 Juli dan mencatat puncak 740.000 ping setiap hari dari host yang terinfeksi, 239.000 koneksi dari klien luar negeri, dan 1.800 dari Tiongkok.
Para peneliti dengan yakin memperkirakan jumlah perangkat yang terinfeksi saat ini adalah sekitar 200.000.
Mengenai kekuatan botnet, operatornya mengklaim kapasitas DDoS maksimum sebesar 4 Tbps di situs clearnet mereka, yang mempromosikan layanan tersebut sebagai penguji stres yang sah.
.jpg)
Sumber: BleepingComputer
Meski jauh lebih rendah dibandingkan saat ini angka rekor 31,4 Tbps dicapai oleh botnet Aisuru/Kimwolf pada bulan Desember 2025, hal ini masih cukup menyebabkan gangguan penting.
Pengguna dapat melindungi terhadap infeksi botnet dengan memperbarui firmware perangkat mereka, mengubah kata sandi administrator default, menonaktifkan akses jarak jauh jika tidak diperlukan, dan memperkuat pengaturan keamanan jika tersedia/memungkinkan.
Uji setiap lapisan sebelum penyerang melakukannya
Tim keamanan mencatat 54% serangan yang berhasil dan hanya memberikan peringatan 14%. Sisanya bergerak melalui lingkungan Anda tanpa terlihat.
Whitepaper Picus menunjukkan bagaimana simulasi pelanggaran dan serangan menguji aturan SIEM dan EDR Anda sehingga ancaman berhenti lolos saat terdeteksi.
