Un nuovo botnet chiamato Dysphoria ha già messo le mani su 200.000 dispositivi sparsi in tutto il mondo, e la cosa che lo rende particolarmente scivoloso è il modo in cui nasconde le sue tracce. Invece dei classici server con indirizzi fissi, sfrutta la blockchain per mascherare i suoi centri di comando e sfuggire agli strumenti di sorveglianza. I ricercatori di QiAnXin XLab lo hanno individuato durante il primo trimestre del 2026, descrivendolo come una famiglia di minacce in piena espansione.
Il bersaglio principale sono gli oggetti connessi, roba come router e telecamere. Secondo l’analisi, la rete sotto il controllo di Dysphoria conta appunto 200.000 apparecchi distribuiti ovunque. E non si tratta di qualcosa di statico. In pochi mesi la famiglia ha ricevuto aggiornamenti frequenti e continue evoluzioni tecniche, segno di una resilienza davvero notevole, come sottolineano gli stessi ricercatori cinesi.
Attacchi DDoS e traffico mascherato
Le tattiche usate da questo malware non sono nuove, anzi. Si comincia provando in automatico password comuni o quelle preimpostate di fabbrica. Il punto debole è sempre lo stesso, tantissimi utenti non cambiano mai le credenziali di default dei loro dispositivi, e questo spalanca la porta agli aggressori. In più il virus sfrutta diverse vulnerabilità già note, comprese alcune falle presenti in router di largo consumo come il Linksys E1700.
I dispositivi compromessi vengono usati soprattutto per lanciare attacchi di tipo DDoS, ovvero attacchi che tempestano di richieste i server di un sito o di un’azienda fino a metterli fuori uso. Sul sito che pubblicizza i servizi del botnet i criminali vantano una potenza di fuoco massima di 4 terabit al secondo, un numero che lo colloca tra i più temibili in circolazione oggi. Non solo, la rete viene sfruttata anche per nascondere il traffico di altre operazioni illecite. Alcune varianti abbandonano del tutto la parte DDoS per concentrarsi solo sul relay del traffico di rete.
La blockchain come nascondiglio
Qui sta la vera particolarità. Dysphoria si distingue nettamente dagli altri botnet più diffusi, quelli che quasi sempre si basano sul codice del famigerato Mirai. Invece di appoggiarsi a domini o indirizzi IP fissi, ricorre a servizi di nomi decentralizzati sulla blockchain, come l’Ethereum Name Service e il Solana Name Service.
In pratica funziona così, i dispositivi infetti ricevono l’indirizzo del loro server di comando attraverso nomi di dominio legati alla blockchain. E per confondere ancora di più le acque, queste istruzioni a volte vengono camuffate da falsi indirizzi IPv6, un formato normalmente usato per identificare gli apparecchi su internet. Gli strumenti di sorveglianza tradizionali, abituati a stanare indirizzi IP sospetti, ci cascano e non si accorgono del passaggio delle istruzioni destinate al botnet.
