LONDON (IT BOLTWISE) – Nach einer polizeilichen Maßnahme gegen JackSkid hat das IoT-Botnet Dysphoria seine Command-and-Control über Blockchain-basierte Namensdienste umgebaut. Laut Analyse von CNCERT und XLab werden dabei Ethereum-Name-Service-Records für eine C2-Auflösung genutzt, die Angreifer-Server stärker kapselt. Gleichzeitig tauchen Varianten auf, die Solana Name Service sowie UPnP-Port-Mapping kombinieren, um NAT-Umgebungen auszunutzen. Für Verteidiger bedeutet das vor allem: Schwache Zugangsdaten und nicht mehr patchbare Geräte sind ein unmittelbarer Hebel.
Das IoT-Botnet Dysphoria, das nach Angaben von CNCERT und XLab bereits auf eine Größenordnung von mehr als 200.000 kompromittierten Geräten zielt, zeigt nach dem Vorgehen gegen die Infrastruktur von JackSkid eine bemerkenswerte Anpassungsfähigkeit. Die Forschenden beschreiben, dass der Wechsel im Command-and-Control-Design nicht nur „irgendeinen“ Ersatzserver nachlädt, sondern die Abhängigkeit von direkt auffindbaren Adressen verändert. Statt klassische C2-Endpoints statisch zu hosten, nutzt Dysphoria nach der Unterbrechung Blockchain-basierte Namensauflösung, wodurch sich ein Teil der Infrastrukturbehinderung durch reine Serverbeschlagnahme weniger wirksam anfühlen kann.
Als Kernmechanismus nennen CNCERT und XLab Ethereum Name Service (ENS) Domain-Records wie m3rnbvs5d[.]eth. In der Beobachtung lösen die infizierten Geräte beim Start oder in regelmäßigen Intervallen diese Records auf und fragen über HTTP bei „Distribution Nodes“ nach einer aktuellen Serverliste. Entscheidend ist dabei die zweistufige Logik: Die Liste enthält Zielendpunkte, bei denen es sich nicht um die eigentlichen Controller handelt, sondern um infizierte Relays, die den Datenverkehr weiterreichen. So bleiben die realen Steuerkomponenten aus Sicht eines Ermittlers einen Schritt entfernt von jenen Adressen, die Bots im laufenden Betrieb offenlegen.
Die Analyse skizziert zudem eine schnelle Evolutionskurve im Build-Prozess: Zunächst wurde offenbar gegen Ende April eine Kombination aus proprietärer RC4-String-Verschlüsselung und ENS-Auflösung integriert, bevor in frühen Mai-Versionen zusätzlich Solana Name Service (SNS) Auflösungslogik auftauchte. In einer späteren Variante, die am 25. Juni als Relay-only beschrieben wird, entfernt das Botnet die DDoS-Module aus dem eigentlichen Relayset und setzt stattdessen stärker auf Netzwerkdurchsatz und Erreichbarkeit. Dabei kommen UPnP-basierte Port-Mappings hinzu, um NAT-Gateways zu umgehen, und Linux epoll wird genutzt, um die Weiterleitung zwischen externer Verbindung und einem entfernten C2-Service effizient zu orchestrieren.
Für die Verteidigung ist die wichtigste Schnittstelle jedoch weniger die Blockchain-Schicht, sondern der Zugang und die Gerätehygiene. CNCERT und XLab führen Dysphoria auf Standardangriffswege zurück: Telnet- und SSH-„Weak Password“-Guessing sowie eine Sammlung bekannter Remote-Code-Execution-Schwachstellen in typischen IoT-Komponenten wie Routern, Gateways und Kameras. In den veröffentlichten Listen taucht unter anderem CVE-2025-9528 auf, eine Command-Injection-Lücke im Linksys E1700, die im August 2025 mit einem öffentlichen Exploit bekannt gemacht wurde. Der Punkt dahinter ist nüchtern: Wenn Systeme überhaupt erreichen, was sie erreichen können, dann hilft es Angreifern, die C2-Topologie flexibel zu verschieben – die eigentliche Kompromittierung bleibt ein dominanter Risikofaktor.
Die gemeldeten Zahlen zur Botnet-Größe sollten dabei vorsichtig interpretiert werden. CNCERT und XLab nennen Telemetriedaten von 4.401 bestätigten aktiven Geräten innerhalb Chinas zwischen dem 14. und 20. Juli sowie einen Tagespeak von 239.000 Bots außerhalb dieser Region. Gleichzeitig räumen die Forschenden ein, dass keine unabhängige Reproduktion der Zählung existiert und keine Methodik zur Bereinigung oder De-Deduplizierung veröffentlicht wurde. Für Sicherheitsverantwortliche heißt das: Die Größenordnung ist ein Warnsignal, aber die exakte exakte Inventarisierung der betroffenen Endgeräte kann davon nicht automatisch abgeleitet werden.
Die anschließende Debatte verlagert sich damit auf das „Wie“ der Störbarkeit. Laut XLab wird der Wechsel von JackSkid zu ENS/SNS zwar ein klassisches Vorgehen wie die gezielte Beschlagnahme einzelner Server erschweren, entfernt die Infrastruktur aus der Kette aber nicht vollständig. Das Botnet bleibt auf Blockchain-Records, erreichbare Distribution Nodes und kompromittierte Relays angewiesen – also weiterhin auf Netzwerkpfade, die für Monitoring, Blockierung und Incident Response auswertbar sind. Auch Japan’s NICT habe unabhängig denselben Shift von JackSkid zu ENS/SNS dokumentiert und zudem Code- und String-Überschneidungen zu anderen Botnet-Familien beobachtet; das spricht eher für geteilte Tooling-Bausteine als für einen einzigen eindeutig identifizierbaren Operator.
Für Unternehmen ergibt sich daraus ein pragmatischer Maßnahmenkatalog, der bei IoT-Problemen häufig „zu simpel“ wirkt, aber genau hier besonders greift: Exponierte IoT-Geräte müssen gepatcht oder ersetzt werden, wenn Updates nicht mehr verfügbar sind; Default- und schwache Credentials sollten konsequent durch starke, unique Passwörter ersetzt werden. Zusätzlich empfehlen CNCERT und XLab, Remote-Management-Funktionen zu deaktivieren, wenn sie im Betrieb nicht zwingend gebraucht werden, und UPnP dort abzuschalten, wo es keine legitime Funktion hat. Weil Dysphoria in Relays gezielt UPnP-Port-Mappings nutzen kann, reduziert das Abschalten nicht nur die Angriffsfläche, sondern erschwert auch jene „NAT-Traversal“-Schicht, die das Botnet für die weiterentwickelte Relay-Variante einsetzt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Dysphoria IoT-Botnet nutzt nach JackSkid-Einsatz ENS/SNS für schwerere C2-Störung" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Dysphoria IoT-Botnet nutzt nach JackSkid-Einsatz ENS/SNS für schwerere C2-Störung" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Dysphoria IoT-Botnet nutzt nach JackSkid-Einsatz ENS/SNS für schwerere C2-Störung« bei Google Deutschland suchen, bei Bing oder Google News!