בוטנט Dysphoria מסתיר שרתי שליטה בבלוקצ'יין, וחדר לכ-200 אלף מכשירי IoT לפי XLab
חוקרי XLab מזהירים מבוטנט שמשתלט על נתבים ומצלמות עם סיסמאות חלשות וחולשות ישנות. הוא משמש להתקפות DDoS ולהעברת תעבורה, ומחביא את שרתי השליטה בבלוקצ'יין.
TL;DR בקצרה
- XLab ו-CNCERT חשפו את Dysphoria, בוטנט שמונה לפי XLab כ-200 אלף מכשירים. BleepingComputer דיווח עליו ב-27 ביולי 2026.
- הוא מתפשט בעיקר דרך סיסמאות חלשות ב-Telnet וב-SSH, ודרך חולשות ישנות בנתבים ובמצלמות, למשל של Huawei ו-DrayTek.
- כתובות שרתי השליטה מוסתרות ברשומות של דומיינים בבלוקצ'יין של Ethereum ו-Solana.
- בגרסה מיוני הבוטנט הפסיק לתקוף והפך מכשירים למתווכי תעבורה, עם 155 כללי UPnP בנתב.
חוקרי QiAnXin XLab חשפו את Dysphoria. זה בוטנט (רשת מכשירים נגועים) שמונה לפי הערכתם כ-200 אלף נתבים, מצלמות ומכשירי IoT. BleepingComputer דיווח עליו ב-27 ביולי 2026. XLab ו-CNCERT פירטו אותו בפוסט משותף. הבוטנט משמש להתקפות DDoS ולהעברת תעבורה, והוא מסתיר את שרתי השליטה שלו בבלוקצ'יין.
Dysphoria: בוטנט שגדל על נתבים ומצלמות
לפי הפוסט של XLab, הדרך העיקרית להדבקה היא ניחוש סיסמאות חלשות ב-Telnet וב-SSH. הבוטנט מנצל גם חולשות ידועות במכשירי IoT. בין הפרצות ש-BleepingComputer מונה: CVE-2017-17215 ב-Huawei, CVE-2020-8515 ב-DrayTek, CVE-2025-28137 ב-Totolink ו-CVE-2025-9528 ב-Linksys. יש גם CVE-2025-55182, שנקראת React2Shell.
שימו לב לתאריכים. שתי הפרצות הראשונות בנות שנים. מכשירים שלא עודכנו מאז נשארים פתוחים לניצול.
XLab עוקבת אחרי הבוטנט מאז הרבעון הראשון של 2026. הוא התפתח מהמשפחות jackskid ו-fbot. בין 14 ל-20 ביולי נרשמו עד 740 אלף בקשות יומיות לשרתי השליטה. בסין XLab אישרה 4,401 מכשירים פעילים. בחו״ל השיא היה 239 אלף בוטים פעילים ביום. הסיבה: מכשירים נגועים משמשים כתחנות ממסר.
מדוע Dysphoria מחביא את שרתי השליטה בבלוקצ'יין
בבוטנטים רבים כתובת השרת מוטמעת בקוד. אם מורידים את הדומיין, הבוטנט נחתך מהמפעיל. Dysphoria עושה אחרת. הדגימות פונות לרשומות מותאמות של דומיינים ב-Ethereum (ENS) וב-Solana (SNS). הרשומה של burrberry.eth, למשל, מחזירה כתובות ממסר.
הבוטנט מסתיר את הכתובות עצמן בתוך מחרוזות IPv6 מזויפות. הוא מפענח אותן באלגוריתם מותאם. אחר כך הוא מבקש רשימת צמתים, וברוב המקרים אלה תחנות ממסר על מכשירים נגועים אחרים. כך קשה להפיל את הרשת בנקודה אחת.
מבחינה טכנית, רשומה בבלוקצ'יין קשה להסרה. לכן מפעילי בוטנטים מעדיפים את השיטה הזאת. המשמעות להגנה: חסימת דומיין בודד לא עוצרת את הבוטנט.
מ-DDoS למתווך תעבורה: מה השתנה ביוני
המפעילים מפרסמים קיבולת של עד 4 Tbps ומוכרים חבילות תקיפה בכמה דרגות. לפי BleepingComputer, הם מציגים זאת כשירות לבדיקת עומסים. XLab מציינת שיעדי ההתקפות כוללים שירותי אינטרנט ומשחקים בהרבה אזורים, כמעט בכל יום. המספר נמוך מהשיא של 31.4 Tbps מדצמבר 2025.
בסוף יוני XLab זיהתה גרסה אחרת. היא הסירה את כל רכיבי ה-DDoS. נשאר בה רק ממסר, שמעביר תעבורה של אחרים דרך המכשיר שלכם. הוא משתמש ב-UPnP כדי לפתוח בנתב 155 כללי העברת פורטים. UPnP הוא מנגנון שמאפשר למכשירים לבקש מהנתב לפתוח פורטים בעצמם.
מה זה עושה לעסק שלכם, גם אם הוא לא היעד
אפשר לא להבחין בשום סימן. הנתב ממשיך לעבוד כרגיל. בינתיים הוא תוקף אתרים אחרים, או מעביר תעבורה של זרים דרך הכתובת שלכם.
זה פוגע בעסק בשתי דרכים. רוחב הפס של הקו משמש את התוקפים. והכתובת הציבורית שלכם מופיעה בלוגים של מי שנתקף, כאילו אתם המקור. בגרסת ה-UPnP יש עוד סיכון: לפי BleepingComputer, כללי העברת הפורטים חושפים שירותים פנימיים לחיבורים נכנסים מהאינטרנט.
מה זה אומר עבורכם
- החליפו סיסמאות: שנו את סיסמת הניהול בנתב, במצלמות וב-DVR. אל תשאירו ברירות מחדל, וחסמו Telnet ו-SSH מהאינטרנט.
- עדכנו קושחה: התקינו עדכונים בנתבים ובמצלמות. מכשיר שהיצרן הפסיק לתמוך בו כדאי להחליף.
- כבו גישה מרחוק ו-UPnP: אם אינכם צריכים אותם, כבו אותם. הכתבה ב-BleepingComputer ממליצה גם להקשיח את הגדרות האבטחה הזמינות.
- בדקו את הנתב: עברו על טבלת העברת הפורטים וחפשו כללים שלא הגדרתם.
- הפרידו רשתות: חברו מצלמות ומכשירי IoT לרשת משלהם, הרחק מהמחשבים והשרתים של העסק.
מקורות והרחבה
- Botnet Rising Star: The Evolution and In-Depth Technical Analysis of DysphoriaQiAnXin XLab
- New Dysphoria DDoS botnet spreads to 200k devices worldwideBleepingComputer
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
