Vulnerabilidades desde 2013 y el algoritmo RC4: hackers mantuvieron el control de 200.000 dispositivos durante años

La nueva botnet Dysphoria, en pocos meses, reunió alrededor de 200 000 dispositivos infectados y aprendió a ocultar su infraestructura de control tras dominios en la cadena de bloques. Los autores de la red maliciosa también convirtieron parte de los dispositivos infectados en nodos intermedios, a través de los cuales se establece la comunicación con los servidores de comando. Ese enfoque complica mucho el bloqueo y la destrucción de toda la red.

El informe sobre Dysphoria fue publicado en conjunto por el Centro Nacional de Respuesta a Incidentes Informáticos de China y la empresa Qi-Anxin. Los especialistas de XLAB han seguido la actividad de la botnet desde el primer trimestre de 2026. En unos meses, los desarrolladores actualizaron varias veces el malware, añadieron nuevos métodos de comunicación y dividieron los dispositivos infectados por roles.

Las primeras muestras de Dysphoria aparecieron a finales de marzo y se relacionaron con variantes de malware jackskid y fbot. En abril, los operadores introdujeron un algoritmo RC4 modificado y luego empezaron a obtener direcciones de los servidores de control a través de los sistemas de nombres de dominio de Ethereum y Solana. Para la comunicación se usaron los dominios ukranianhorseriding.eth, burrberry.eth y 24carnforth2merseyside.sol.

En los registros de los dominios se guardaban datos disfrazados como direcciones IPv6. El malware extraía bytes individuales de ellos, los descifraba y obtenía la dirección IPv4 real. Tras la conexión, el dispositivo infectado solicitaba una lista de nodos que parecían servidores de control. La verificación mostró que muchas de esas direcciones pertenecían a otros dispositivos infectados que actuaban como nodos intermedios.

A finales de junio, los operadores lanzaron una variante independiente de Dysphoria sin funciones de ataque. Tras la infección, el programa buscaba en la red local un router con soporte para Universal Plug and Play (UPnP) e intentaba abrir en él 155 puertos. Luego, el dispositivo infectado aceptaba tráfico externo y reenviaba los datos al servidor de control real, ocultando su dirección.

Para la transmisión de datos, el malware empleaba el mecanismo epoll en Linux, que permite atender simultáneamente un gran número de conexiones. El nodo también enviaba periódicamente a los operadores información sobre disponibilidad, número de conexiones y ancho de banda.

Dysphoria se propaga mediante contraseñas débiles de Telnet y SSH, así como a través de vulnerabilidades conocidas en routers, cámaras, puertas de enlace y otros dispositivos basados en Linux. En la lista de vulnerabilidades utilizadas aparecen tanto errores antiguos, conocidos desde 2013, como problemas divulgados en 2025. El método principal de infección sigue siendo la obtención por fuerza bruta de contraseñas.

Del 14 al 20 de julio de 2026, los especialistas confirmaron 4 401 dispositivos infectados activos en China. Fuera del país, el número de dispositivos que se conectaban diariamente alcanzó los 239 000. Según los datos del panel de control que se filtraron en redes sociales, el tamaño total de Dysphoria se mantuvo durante mucho tiempo cerca de la marca de 200 000 dispositivos.

Los operadores ofrecen acceso a la botnet como servicio de pago y aseguran poder lanzar ataques con una capacidad de hasta 4 Tbit/s. El coste depende de la duración y del ancho de banda y varía desde unas decenas hasta varios centenares de dólares. Dysphoria realiza ataques casi a diario y afecta a servicios de Internet, plataformas de juegos y organizaciones en distintos países, repitiendo el esquema por el que se desarrollaron otras botnets DDoS.