Dysphoriaボットネット、ブロックチェーンでインフラを隠蔽

新興のDysphoriaボットネットは、わずか数か月のうちに約20万台の侵害デバイスから成る大規模な兵力を構築しました。さらに、コマンド&コントロール(C2)インフラをブロックチェーンドメインの背後に隠蔽する高度な手法を編み出しています。この悪意あるネットワークの設計者たちは、感染デバイスの一部を巧妙に中継プロキシノードとして徴用し、実際のC2サーバーへの通信を仲介させています。この多層的なアーキテクチャにより、ボットネットの摘発と解体を試みる取り組みは飛躍的に困難になっています。

急速な進化とアーキテクチャの複雑化

Dysphoriaの出現と技術的アーキテクチャの詳細をまとめた包括的なレポートが、中国国家計算機網応急技術処理協調中心(CNCERT/CC)と奇安信(Qi-Anxin)によって共同で公表されました。XLABのアナリストは2026年第1四半期以降、このボットネットの活動を継続的に監視してきました。数か月にわたり、開発者たちはマルウェアに複数回の反復アップグレードを実施し、新しい通信プロトコルを組み込むとともに、感染デバイスを機能ごとに明確な役割に振り分けています。

Dysphoriaの最初期の検体は3月下旬に出現しており、コードの系統はjackskidおよびfbotマルウェアファミリーにまで遡ることが確認されています。4月までに、運用者はカスタマイズされたRC4暗号化アルゴリズムを組み込みました。その後、Ethereum Name Service(ENS)およびSolana Name Service(SNS)を介してC2サーバーのアドレスを解決する方式へと移行しています。このボットネットはukranianhorseriding.eth、burrberry.eth、24carnforth2merseyside.solといったドメインに定期的に問い合わせを行い、通信を確立していました。

ブロックチェーンによる検知回避と中継プロキシノード

これらブロックチェーンドメインのDNSレコードには、IPv6アドレスを装って偽装されたペイロードが格納されていました。マルウェアはこの疑似アドレスから特定のバイトを系統的に抽出・復号し、C2サーバーの実際のIPv4アドレスを合成することに成功していました。接続が確立されると、侵害されたデバイスは表向きコマンドサーバーとして機能するノードの一覧を要求します。しかし、綿密なフォレンジック分析の結果、これらアドレスの大半は実際には他の感染デバイスであり、中継プロキシノードとして能動的に稼働していることが判明しました。

6月下旬、運用者は攻撃機能を一切持たない特殊なDysphoria亜種を展開しました。感染直後、この一見無害なプログラムはローカルエリアネットワーク内でUniversal Plug and Play(UPnP)に対応するルーターをスキャンし、155個の特定ポートの転送を試みます。その結果、この侵害デバイスは外部からの受信トラフィックを取り込み、シームレスに本物のC2サーバーへ中継することで、最終的な宛先のIPアドレスを効果的に隠蔽していました。

効率的なデータ伝送を実現するため、このマルウェアはLinuxのepoll機構を活用し、ノードが膨大な数の同時接続を一挙に処理できるようにしていました。さらに、このノードは定期的に、稼働状況、アクティブな接続数、利用可能な帯域幅容量に関する重要なテレメトリを運用者側に送信していました。

拡散手法と世界的な影響

Dysphoriaは主に、脆弱なTelnetおよびSecure Shell(SSH)の認証情報を悪用して拡散するほか、Linuxベースのルーター、IPカメラ、ゲートウェイ、その他各種のIoT(モノのインターネット)機器に存在する既知の脆弱性の悪用も併用しています。このボットネットのエクスプロイト群には、2013年にまで遡る旧式の脆弱性と、2025年に開示されたばかりの新しい欠陥の両方が含まれています。とはいえ、依然として最も強力かつ頻繁に用いられている感染経路は、総当たり攻撃による認証情報の窃取です。

2026年7月14日から7月20日にかけて、アナリストは中国国内で4,401台の感染デバイスが実際に稼働していることを確認しました。国外に目を向けると、世界全体で接続してくるデバイスの日次件数は最大で23万9,000台に達しています。ソーシャルメディア上に流出したC2ダッシュボードから得られた情報によると、Dysphoriaの総勢力は常時20万台前後で推移していることが分かります。

運用者は現在、このボットネットへのアクセスを有料の分散型サービス妨害(DDoS)サービスとして収益化しており、最大4テラビット毎秒(Tbps)の攻撃能力を持つと大胆にも謳っています。料金体系は攻撃時間と必要な帯域幅に応じて変動し、数十ドルから数百ドルの幅に及びます。Dysphoriaはほぼ毎日のように攻撃を実行しており、インターネットサービスプロバイダー、ゲームネットワーク、さまざまな商業組織を世界規模で無差別に標的としています。これはまさに、先行するDDoSボットネット集団がたどってきた発展の軌跡を忠実になぞるものです。