La botnet IoT Dysphoria sta evolvendo rapidamente dopo le operazioni di contrasto che hanno colpito infrastrutture collegate a JackSkid. Il cambiamento più rilevante riguarda il comando e controllo basato su blockchain e l’uso di relay costruiti sulle stesse macchine infette.
Questa architettura rende più difficile una classica azione di takedown perché riduce i punti centrali facilmente sequestrabili e mantiene i controller reali separati dagli indirizzi visibili ai bot.
Secondo analisi di threat intelligence, Dysphoria avrebbe raggiunto una scala molto ampia con centinaia di migliaia di dispositivi compromessi, anche se i numeri vanno interpretati con cautela quando non sono disponibili dettagli su conteggi e deduplicazione. In ogni caso il trend è chiaro: le botnet IoT continuano a crescere sfruttando la grande superficie di attacco di router, gateway e telecamere esposte su Internet.
Modello operativo e architettura a relay
Il modello operativo osservato prevede l’utilizzo di servizi di naming su blockchain per pubblicare record che puntano a nodi di distribuzione. I campioni di malware interrogano questi nodi via HTTP per ottenere liste aggiornate di server. Gli endpoint restituiti includono spesso dispositivi già infetti che agiscono da relay, inoltrando il traffico verso i servizi di comando e controllo. In pratica la botnet crea una rete a maglie usando le vittime come infrastruttura, aggiungendo un ulteriore livello di opacità e resilienza.
Evoluzione delle varianti e tecniche aggiuntive
Nel tempo sono emerse varianti con tecniche aggiuntive, come cifratura di stringhe e risoluzione di domini tramite più reti blockchain, oltre a funzioni di port mapping con UPnP per attraversare NAT e rendere raggiungibili i relay. In alcune build orientate ai relay vengono ridotti o rimossi i moduli DDoS, privilegiando la capacità di trasporto del traffico e la persistenza della catena di comando.
Vettori di diffusione e misure di mitigazione
La diffusione avverrebbe soprattutto tramite tentativi di accesso con credenziali deboli su Telnet e SSH e tramite vulnerabilità note in dispositivi IoT. Per ridurre il rischio servono misure concrete:
- Aggiornare firmware e sistemi, e sostituire i dispositivi non più supportati.
- Rimuovere password di default e adottare credenziali robuste.
- Disabilitare gestione remota e UPnP quando non necessari.
- Limitare l’esposizione diretta su Internet con segmentazione di rete e regole firewall.