Dysphoria sposta il C2 su blockchain e relay infetti
La rottura non è più un singolo server da sequestrare. Dopo la disruption di JackSkid, Dysphoria ha spostato la ricerca dei controller su name service blockchain e relay presi dalle vittime, così l’indirizzo visibile ai bot diventa solo un passaggio intermedio e non il punto da tagliare per fermare la rete.
CNCERT e XLab descrivono una popolazione superiore a 200.000 bot, con 4.401 device confermati attivi in Cina tra il 14 e il 20 luglio e un picco giornaliero di 239.000 bot all’estero; i numeri però non sono stati riprodotti in modo indipendente e non c’è una metodologia pubblicata per verificarli. L’analisi ricostruisce anche la rapida evoluzione tecnica: ENS a fine aprile, Solana Name Service ai primi di maggio, poi una variante relay-only il 25 giugno e il port mapping via UPnP pochi giorni dopo.
Per i team che fanno DDoS mitigation, il cambio conta perché il playbook classico — sequestro del dominio o blocco dell’IP — colpisce solo la facciata. Restano comunque da vedere e da interrompere i record blockchain, i nodi di distribuzione raggiungibili e la mesh di relay costruita sui dispositivi compromessi.