2026年第1四半期以降、XLabの研究者たちは「Dysphoria」と名付けられた急速に進化するIoTボットネットファミリーを追跡しています。感染デバイス数は全世界で20万台を超えると推定されています。
Dysphoriaはわずか数カ月の間に複数の亜種とアーキテクチャの変更を経ており、法執行機関の摘発や業界による対策の双方に耐える異例の高い生存能力を示しています。
このファミリーの系譜はjackskidおよびfbot系統の亜種にまで及びます。現在では、ブロックチェーン上のENS/SNSドメインと、中継ノードとして機能する侵害済みホストで構成されるハイブリッド型のコマンド&コントロール(C2)モデルが新たに追加されています。
進化の時系列を見ると、従来型の中央集権的にホストされたC2から、捕捉が困難な強靭なメッシュ構造へと明確な移行が見て取れます。
3月25日、アナリストらはENSドメイン「m3rnbvs5d.eth」に紐づくjackskidの亜種を捕捉しました。このサンプルには「android has no compatible libc library」という特徴的なデバッグ文字列が含まれていました。
4月1日には、実行時に「hail china mainland\x00」という文字列を出力するfbot亜種が観測されました。これは同一のエコシステム内に存在する、関連はあるものの別系統の株であることを示しています。
4月下旬までに、DysphoriaはRC4ベースの文字列暗号化と新たなC2取得ロジックを導入し、ENSドメイン「ukranianhorseriding.eth」を稼働させました。
5月初旬には、TXTレコード経由でアセットを配信するSolanaベースのSNSインフラ「24carnforth2merseyside.sol」が登場し、続いて6月10日には「burrberry.eth」が稼働を開始しました。
転機となったのは6月25日で、研究者らはDDoS機能を排除し、純粋な中継/プロキシノードとして動作する亜種を捕捉しました。
その2日後、DysphoriaはUPnPポートマッピングの自動化機能を追加し、「DDoSサンプル+動的C2中継リスト」からなるハイブリッドチェーンを構築しました。これにより中継主導型のアーキテクチャへの転換が確固たるものとなり、摘発を劇的に困難にしています。
コードレベルでは、Dysphoriaの最新のfbot亜種はリバースエンジニアリングや自動検知を妨害するため、文字列保護に多大なリソースを投じています。
コアの復号ロジックは、まず一般的なRC4鍵スケジューリングアルゴリズム(KSA)から始まります。しかしその後、線形合同法生成器(LCG)によって駆動される第2のKSAフェーズが加わり、Sボックスを5回シャッフルします。
キーストリーム生成(PRGA)の過程では、さらに線形フィードバックシフトレジスタ(LFSR)に加え、複数のスワップ操作とビットシフトが組み込まれています。
この多層的な難読化により、解析や静的シグネチャ作成が格段に困難な、非標準のRC4類似のストリーム暗号が生成されています。
インフラ面において、Dysphoriaの際立った特徴はブロックチェーンを利用した秘匿的なC2解決にあります。
このボットネットはEthereum Name Service(ENS)とSolana Name Service(SNS)の両方のドメインに対応しており、中継ノードやインフラ情報をエンコードしたカスタムレコードを問い合わせます。
例えば、「burrberry.eth」は中継先の配信IPを取得するために使われるノードレコードを公開している一方、「ukranianhorseriding.eth」と「24carnforth2merseyside.sol」は基盤となるネットワークインフラのためのネットワーク鍵とデシリアライズ鍵を保持していると、qianxinは述べています。
DysphoriaはIPv4アドレスをそのままハードコードする代わりに、偽装したIPv6文字列(例: 「12e7:13d7」のようなセグメント)の中に隠し、重要なバイトを抽出した上で、独自の置換関数を通すことで実際のIPv4アドレス(例: 144.31.38.215)を復元します。
この追加のエンコーディング層により、防御側がDysphoriaの実際のC2エンドポイントを確実に特定するには、ブロックチェーン上のレコードと独自の復号ロジックの両方を理解する必要があります。
SOC調査の死角を解消し、ANY.RUNで脅威をより早期に封じ込めることで、対応コストと業務への支障を軽減しましょう。
翻訳元: https://cyberpress.org/dysphoria-botnet-resilience/
