Dysphoria đã nhanh chóng trở thành một mã độc botnet IoT đáng chú ý, ước tính đã lây nhiễm khoảng 200.000 thiết bị trên toàn thế giới. Đây là một mối đe dọa mạng đáng kể, biến các thiết bị thông minh kém bảo mật thành tài nguyên cho các hoạt động tội phạm mạng.
Mã độc này nhắm mục tiêu vào các thiết bị như router, camera, gateway và các hệ thống Linux nhúng khác. Sự lây lan nhanh chóng và các kỹ thuật lẩn tránh tinh vi của Dysphoria làm phức tạp thêm việc phát hiện và vô hiệu hóa.
Cơ chế lây nhiễm và Khai thác lỗ hổng
Các đối tượng vận hành Dysphoria botnet sử dụng kết hợp các cuộc tấn công vét cạn mật khẩu (password brute-force) qua Telnet và SSH. Ngoài ra, chúng còn khai thác các lỗ hổng bảo mật phần mềm đã biết để chiếm quyền truy cập vào các thiết bị IoT.
Cách tiếp cận quen thuộc này vẫn hiệu quả đáng ngạc nhiên. Nhiều thiết bị kết nối vẫn bị phơi bày trực tuyến, chạy firmware cũ, hoặc sử dụng thông tin xác thực yếu kém, tạo điều kiện thuận lợi cho việc xâm nhập mạng.
Việc không thay đổi mật khẩu mặc định hoặc bỏ qua các bản cập nhật phần mềm là những nguyên nhân chính khiến các thiết bị dễ bị tấn công. Điều này làm nổi bật tầm quan trọng của các biện pháp an ninh mạng cơ bản đối với người dùng và tổ chức.
Các Phương pháp Lây nhiễm Chính
- Tấn công vét cạn Telnet và SSH: Kẻ tấn công thử nghiệm hàng loạt tên người dùng và mật khẩu phổ biến hoặc mặc định để truy cập trái phép.
- Khai thác lỗ hổng phần mềm đã biết: Mã độc tận dụng các lỗ hổng chưa được vá trong firmware của thiết bị IoT.
Cấu trúc Command-and-Control (C2) ẩn sau Blockchain
Điểm nổi bật nhất của Dysphoria botnet là việc sử dụng các miền dựa trên blockchain. Cụ thể, nó sử dụng Ethereum Name Service (ENS) và Solana Name Service (SNS) để định vị cơ sở hạ tầng điều khiển của mình.
Thay vì dựa vào một địa chỉ máy chủ cố định, mã độc tìm kiếm các bản ghi liên quan đến các miền blockchain. Từ đó, nó thu thập dữ liệu hướng dẫn đến các hệ thống relay và C2 đang hoạt động.
Kỹ thuật này mang lại cho những kẻ vận hành Dysphoria botnet một lớp khả năng phục hồi bổ sung. Chặn một miền hoặc địa chỉ IP thông thường có thể làm gián đoạn liên lạc của botnet. Tuy nhiên, các bản ghi liên kết blockchain cho phép kẻ tấn công cập nhật cơ sở hạ tầng mà không cần sửa đổi từng thiết bị bị nhiễm.
Qianxin, một công ty phân tích an ninh mạng, đã xác định được sự tiến hóa nhanh chóng của mã độc này và cách nó sử dụng các miền blockchain để che giấu cơ sở hạ tầng C2. Theo báo cáo của Qianxin, Dysphoria botnet đã liên tục thay đổi mã và thiết kế mạng kể từ đầu năm 2026. Bạn có thể tham khảo báo cáo chi tiết tại blog của Qianxin.
Cách tiếp cận này tương tự như các chiến dịch khác đã sử dụng các chiến thuật cơ sở hạ tầng C2 blockchain. Điều này làm phức tạp các nỗ lực theo dõi các máy chủ độc hại, gây ra thách thức lớn cho các chuyên gia an ninh mạng.
Cơ chế Truy xuất Thông tin C2
Các nhà nghiên cứu đã quan sát thấy rằng bot truy vấn các bản ghi ENS và SNS. Sau đó, nó trích xuất thông tin mạng bị che giấu từ dữ liệu trả về.
Trong một trường hợp, mã độc sử dụng một miền blockchain để truy xuất các node phân phối relay. Các node này sau đó cung cấp các địa chỉ được sử dụng cho giao tiếp command-and-control trực tiếp.
Các mẫu mã độc gần đây nhất cũng sử dụng các thuật toán mã hóa đã sửa đổi để ẩn các chuỗi và dữ liệu cấu hình. Những biện pháp bảo vệ này làm chậm quá trình phân tích và giúp mã độc tránh các chữ ký đơn giản. Trong khi đó, cơ sở hạ tầng xoay vòng làm giảm giá trị của việc chỉ chặn từng chỉ số riêng lẻ.
Khả năng và Sự tiến hóa của Botnet Dysphoria
Ban đầu, botnet IoT Dysphoria không chỉ giới hạn ở việc khởi động các cuộc tấn công DDoS gây gián đoạn lưu lượng. Các biến thể mới hơn có thể chuyển đổi các máy bị nhiễm thành các node relay.
Điều này cho phép kẻ vận hành định tuyến lưu lượng qua các thiết bị bị xâm nhập. Từ đó, làm cho cơ sở hạ tầng điều khiển thực tế khó xác định hoặc loại bỏ hơn. Sự tiến hóa này cho thấy một sự thay đổi chiến thuật từ tấn công trực diện sang việc ẩn mình và duy trì hoạt động lâu dài.
Biến thể mới tập trung vào Proxy Relay
Một biến thể Dysphoria riêng biệt được phát hiện vào cuối tháng Sáu đã loại bỏ chức năng DDoS của nó. Thay vào đó, nó tập trung hoàn toàn vào việc tạo các proxy relay.
Biến thể này có thể tìm kiếm các gateway mạng hỗ trợ UPnP (Universal Plug and Play), tự động mở cổng và phơi bày hệ thống bị nhiễm để chuyển tiếp lưu lượng. Khi hoạt động, thành phần relay có thể kết nối lưu lượng bên ngoài đến một đích từ xa trong khi sử dụng thiết bị nạn nhân làm trung gian.
Báo cáo cho biết điều này tạo ra một cấu trúc lai. Trong cấu trúc này, các máy chủ bị nhiễm hỗ trợ cả hoạt động DDoS và một mạng relay phân tán. Sự phức tạp này làm tăng đáng kể nguy cơ bảo mật cho các thiết bị IoT.
Quy mô và Tác động của Botnet
Việc theo dõi từ ngày 14 đến ngày 20 tháng 7 đã tìm thấy 4.401 bot đang hoạt động được xác nhận. Số lượng bot ở nước ngoài đạt đỉnh 239.000. Các ảnh chụp màn hình bảng điều khiển bị rò rỉ được các nhà nghiên cứu xem xét cho thấy những kẻ vận hành duy trì một botnet khoảng 200.000 thiết bị.
Chúng tuyên bố tiềm năng tấn công DDoS có thể lên tới 4 Tbps. Sự kết hợp giữa quy mô lây nhiễm lớn, mã có khả năng thích ứng và các kênh điều khiển ẩn khiến Dysphoria trở thành một mối lo ngại đáng kể. Điều này áp dụng cho cả người dùng gia đình và các tổ chức vận hành thiết bị kết nối internet.
Hoạt động của Dysphoria botnet cũng cho thấy lý do tại sao bảo vệ các thiết bị IoT kết nối đòi hỏi nhiều hơn là chỉ thay đổi mật khẩu mặc định của thiết bị.
Biện pháp Giảm thiểu và An toàn Thông tin
Để đối phó với các mối đe dọa như Dysphoria botnet, cả người dùng cá nhân và tổ chức cần thực hiện các biện pháp an toàn thông tin chủ động. Việc này bao gồm các bước đơn giản nhưng hiệu quả để bảo vệ thiết bị và mạng của mình.
Đối với Chủ sở hữu Thiết bị
- Người sở hữu thiết bị nên thay đổi thông tin đăng nhập mặc định.
- Vô hiệu hóa Telnet và quản lý từ xa nếu chúng không thiết yếu.
- Áp dụng các bản cập nhật firmware từ nhà cung cấp một cách kịp thời.
Đối với Các Tổ chức
Các tổ chức nên tách biệt thiết bị IoT khỏi các hệ thống quan trọng. Giám sát các kết nối đi ra bất thường và xem xét chiến lược quản lý bảo mật IoT rộng hơn của họ. Điều này nhằm hạn chế tác động của một thiết bị bị nhiễm.
Việc triển khai các giải pháp phát hiện xâm nhập (IDS) có thể giúp nhận diện sớm các hoạt động đáng ngờ. Một chiến lược an ninh mạng toàn diện là cần thiết để đối phó với sự phức tạp của các mã độc botnet IoT hiện đại.
Indicators of Compromise (IoCs)
Dưới đây là các chỉ số thỏa hiệp liên quan đến Dysphoria botnet. Xin lưu ý rằng các địa chỉ IP và tên miền được cố ý làm sai lệch (ví dụ: dùng [.] thay vì .) để ngăn chặn việc truy xuất hoặc tạo liên kết ngẫu nhiên. Chỉ phục hồi chúng trong các nền tảng threat intelligence được kiểm soát như MISP, VirusTotal hoặc SIEM của bạn.
[Các IOCs cụ thể không được cung cấp trong nội dung gốc ngoài ghi chú này. Nếu có, chúng sẽ được liệt kê ở đây.]
Hiện tại, thông tin chi tiết về các IOCs (như IP, hash, domain) không được cung cấp rõ ràng trong văn bản nguồn ngoài đoạn ghi chú. Nếu có, chúng sẽ được trích xuất và trình bày dưới dạng danh sách cụ thể tại đây để hỗ trợ việc phát hiện tấn công.
Cập nhật tình hình tin tức an ninh mạng thường xuyên là rất quan trọng để các chuyên gia bảo mật có thể theo dõi các mối đe dọa mới và củng cố hệ thống phòng thủ của mình.
