XLABのセキュリティ研究者は、2026年第1四半期からDysphoriaと呼ばれる急速に拡大するボットネットファミリーを追跡しています。このボットネットは20万台を超える侵害デバイスを制御しているとされています。
従来型のDDoSマルウェアから、分散型のコマンド&コントロール(C2)プロキシネットワークへと急速に進化を遂げています。
同グループの最新の開発動向は特に懸念されるものです。専用のリレー亜種は、侵害されたルーター、ゲートウェイ、カメラ、組み込みLinuxデバイスを、外部から到達可能なプロキシノードへと変貌させます。
このマルウェアはUPnPを悪用し、被害者のルーター上の155個のポートをマッピングして、攻撃者が制御するインフラへトラフィックを透過的に転送します。
これにより、このボットネットの無力化はより困難になります。C2レイヤーが少数のサーバーに限定されるのではなく、侵害された住宅用機器やIoTデバイス全体に分散されているためです。
Dysphoriaは、jackskidやfbot由来のサンプルを含む、複数の亜種を経て進化してきました。
3月下旬に観測された初期の活動では、Ethereum Name Service(ENS)ドメインm3rnbvs5d.ethが使用されていましたが、その後のバージョンではC2インフラの所在を特定するためにENSとSolana Name Service(SNS)の両ドメインが採用されました。
観測されたドメインには、ukranianhorseriding.eth、burrberry.eth、24carnforth2merseyside.solなどが含まれます。このマルウェアは従来型のDNSレコードのみに依存する代わりに、ブロックチェーンベースのネーミングサービスに対してTXTレコードやカスタムレコードを問い合わせます。
この手法により、攻撃者はより堅牢なインフラ発見手段を確保できます。ブロックチェーン上の記録は、防御側が削除や差し押さえを行うのがより困難だからです。
最新のDDoS対応サンプルは、暗号化された文字列と改変版のRC4類似ルーチンを使用しています。この実装は、標準的なRC4処理と線形合同法乱数生成器、線形フィードバックシフトレジスタを組み合わせており、解析者による静的な設定情報の抽出をより困難にしています。
Dysphoriaは、C2アドレスを偽のIPv6風の値の中に隠す手法も用いています。マルウェアは特定のバイトを抽出し、独自のデコード関数を適用することで実際のIPv4アドレスを復元します。
その後、リレー配布用サーバーにHTTP経由で接続し、稼働中のプロキシノードの最新リストを要求します。これらのノードは、C2トラフィックを転送するよう設定された侵害デバイスです。
このアーキテクチャにより、ボットネットの攻撃クライアントと最終的なC2サーバーが分離されます。リレーがブロックされたりオフラインになったりしても、運営者はインフラ全体を再構築することなく、感染ボットに新しいリレーアドレスを提供できます。
6月下旬には、単独で動作するDysphoriaリレー亜種が確認されました。これまでのサンプルとは異なり、このバージョンにはDDoS攻撃機能が含まれていません。その唯一の目的は、侵害されたシステムからプロキシ層を構築することです。
実行されると、リレーはローカルネットワーク上でUPnP対応のゲートウェイを探索します。そして155個のポートに対してポートマッピングの作成を試み、感染デバイスがNATの背後にある場合でも、外部からのインバウンド接続が到達できるようにします。
このマルウェアはこれらのポートで待ち受け、Linuxのepollベースのノンブロッキングi/oを用いて、外部からの接続と、同一のポート番号を使うリモートC2サービスとの間でトラフィックを中継すると、qianxinは述べています。
このリレーは定期的にlogin.trees4sale.net:9000へヘルスレポートを送信します。これらのレポートにはノードの稼働状況、接続総数、帯域幅情報が含まれる場合があり、運営者はこれをもとに稼働中のプロキシシステムを特定できます。
ANY.RUNを使えば、SOC調査の死角を解消し、脅威をより早期に封じ込めることで、対応コストと業務への支障を軽減できます。
翻訳元: https://cyberpress.org/dysphoria-exploits-155-router-ports/