# Dysphoria: sáu ngày sau cuộc triệt phá, và tám năm sau ý tưởng gốc

## Tóm tắt

Ngày 19/03/2026, cơ quan chức năng Mỹ, Canada và Đức triệt phá hạ tầng của bốn botnet IoT lớn nhất từng được ghi nhận — Aisuru, Kimwolf, JackSkid và Mossad. Hơn ba triệu thiết bị bị nhiễm. Hơn 316.000 lệnh tấn công DDoS, trong đó có các cuộc tấn công nhắm vào địa chỉ IP thuộc Mạng thông tin Bộ Quốc phòng Hoa Kỳ. Cơ quan chức năng thu giữ **máy chủ ảo, tên miền internet và hạ tầng liên quan**.

**Sáu ngày sau**, XLab bắt được mẫu đầu tiên của một họ botnet mới, dựng trực tiếp trên code của JackSkid. Đến khi XLab và CNCERT công bố báo cáo chung ngày 25/07/2026, nó đã có hơn **200.000 bot**.

Họ đặt tên nó là **Dysphoria**. Và điều đáng nói không phải quy mô — 200.000 nhỏ hơn nhiều so với ba triệu — mà là kiến trúc. Dysphoria được thiết kế để **không sở hữu đúng ba thứ mà cuộc triệt phá đã thu giữ**:

*   Không dùng tên miền ICANN, mà dùng tên miền blockchain ENS (Ethereum) và SNS (Solana)
    
*   Không dùng máy chủ của kẻ tấn công làm C2, mà biến chính máy nạn nhân thành node trung chuyển
    
*   Không phụ thuộc một chuỗi, mà giữ dự phòng trên nhiều blockchain Khi node C2 chính là router của nạn nhân, "thu giữ hạ tầng C2" trở thành một mệnh đề không có nghĩa về mặt pháp lý.
    

**Hành động ưu tiên: tắt UPnP trên thiết bị biên và kiểm tra xem router, camera trong mạng có đang truy vấn các dịch vụ phân giải tên miền blockchain hay không — đây là hành vi gần như không bao giờ hợp lệ với thiết bị IoT.**

* * *

## Bối cảnh: cuộc triệt phá tháng 03/2026 và cái đến sau

Cuộc triệt phá ngày 19/03/2026 là một chiến dịch phối hợp lớn. Bộ Tư pháp Hoa Kỳ dẫn dắt, cùng hành động thực thi pháp luật tại Canada và Đức nhắm vào chính các cá nhân vận hành botnet. Danh sách đối tác tư nhân hỗ trợ điều tra rất dài: Akamai, AWS, Cloudflare, DigitalOcean, Google, Lumen, Nokia, Okta, Oracle, PayPal, SpyCloud, Synthient, Team Cymru, Unit 221B — và **QiAnXin XLab**.

| Botnet | Số lệnh DDoS | Đặc điểm |
| --- | --- | --- |
| Aisuru | hơn 200.000 | Xuất hiện cuối 2024; đứng sau các kỷ lục DDoS liên tiếp |
| JackSkid | hơn 90.000 | Nhắm thiết bị trong mạng nội bộ; lây qua residential proxy; trung bình hơn 150.000 nạn nhân/ngày đầu tháng 3, đỉnh 250.000 ngày 08/03 |
| Kimwolf | hơn 25.000 | Biến thể Android của Aisuru, được gieo từ Aisuru tháng 10/2025; chiếm hơn 2 triệu thiết bị Android TV |
| Mossad | hơn 1.000 | Quy mô nhỏ hơn; trung bình hơn 100.000 nạn nhân/ngày đầu tháng 3 |

Về hỏa lực, Aisuru và Kimwolf gắn với cuộc tấn công DDoS lớn nhất từng được ghi nhận: **31,4 Tbps và 200 triệu request mỗi giây**, chỉ kéo dài 35 giây. Cloudflare mô tả lưu lượng tấn công tối đa của tổ hợp hai botnet này là tương đương với sức mạnh tổng hợp của nhiều hạ tầng lớn.

Chi tiết đáng chú ý về mặt tình báo: **XLab vừa là bên tham gia dọn dẹp, vừa là bên đầu tiên nhìn thấy thứ mọc lên thay thế.** Điều đó cho báo cáo Dysphoria một giá trị đặc biệt — nó được viết bởi những người đã nhìn thấy cả hai đầu của chu kỳ.

Krebs on Security đã chỉ ra một mô thức quan trọng trước đó: sau khi Synthient công bố công khai lỗ hổng mà Kimwolf dùng để lây lan (02/01/2026), tốc độ lây của Kimwolf chậm lại đáng kể. Nhưng **nhiều botnet IoT khác đã nổi lên sao chép đúng phương pháp lây đó**, cạnh tranh nhau trên cùng một pool thiết bị dễ tổn thương. Dysphoria xuất hiện đúng trong bối cảnh cạnh tranh đó.

### Ý tưởng blockchain không mới — nhưng quy mô thì mới

Trước khi đi vào kỹ thuật, cần đặt Dysphoria vào đúng chỗ trong lịch sử.

Ngày 13/09/2018, 360Netlab công bố **Fbot** — một biến thể Mirai có liên hệ với Satori, nổi tiếng vì hành vi kỳ lạ: nó quét cổng TCP 5555 (dịch vụ ADB trên Android), tìm và gỡ bỏ mã độc đào tiền `com.ufo.miner`, diệt các tiến trình đào coin, rồi tự hủy. Module DDoS kế thừa từ Mirai vẫn còn trong code nhưng 360Netlab không ghi nhận lệnh tấn công nào.

Điểm khiến Fbot đáng nhớ tám năm sau nằm ở chỗ khác: **C2 của nó là** `musl.lib`**, một tên miền không đăng ký với ICANN và không thể phân giải bằng hệ thống DNS truyền thống.** Nó được phân giải qua EmerDNS — hệ thống DNS dựa trên blockchain của nền tảng Emercoin. 360Netlab nhận định lựa chọn này nâng cao rào cản cho việc tìm và theo dõi botnet, đồng thời khiến việc sinkhole tên miền C2 trở nên khó khăn.

Đó là năm 2018. Dysphoria làm đúng điều đó vào năm 2026, nhưng trên **ENS và SNS** — hệ thống tên miền của Ethereum và Solana, hai blockchain có hàng triệu người dùng hợp pháp. Sự khác biệt không nằm ở ý tưởng mà ở hệ sinh thái: EmerDNS là một ngách nhỏ có thể bị bỏ qua; ENS và SNS thì không thể chặn mà không ảnh hưởng diện rộng.

Và Dysphoria kế thừa trực tiếp từ Fbot. XLab ghi nhận biến thể `fbot` trong chính dòng tiến hóa của họ botnet này.

> **Một quan sát của chúng tôi, mức tin cậy trung bình.** Trong danh sách IOC năm 2018 của 360Netlab cho Fbot có một tên miền C2 liên quan: `ukrainianhorseriding.com`. Trong danh sách IOC năm 2026 của XLab cho Dysphoria có tên miền ENS: `ukranianhorseriding.eth`. Cùng một cụm từ bất thường, cách nhau tám năm, chuyển từ tên miền `.com` truyền thống sang tên miền ENS trên Ethereum; chênh nhau một chữ cái (`ukrainian` so với `ukranian`), có thể do lỗi chính tả hoặc cố ý. **Không nguồn nào trong bộ tài liệu này khẳng định mối liên hệ đó**, và chúng tôi không suy diễn rằng cùng một cá nhân đứng sau. Nhưng nếu quan sát này đúng, phả hệ của Dysphoria không chỉ là việc tái sử dụng code Fbot mà có thể là một sự tiếp nối về mặt vận hành. Đề nghị đối chiếu độc lập trước khi đưa vào báo cáo chính thức.

* * *

## Timeline

| Thời điểm | Sự kiện |
| --- | --- |
| 13/09/2018 | 360Netlab công bố **Fbot** — C2 `musl.lib` phân giải qua EmerDNS, gỡ `com.ufo.miner` |
| Cuối 2024 | **Aisuru** xuất hiện |
| 10/2025 | **Kimwolf** được gieo từ Aisuru; lây qua residential proxy |
| 11–12/2025 | Kỷ lục DDoS 31,4 Tbps gắn với Aisuru/Kimwolf |
| 02/01/2026 | Synthient công bố lỗ hổng Kimwolf dùng để lây lan |
| 18/03/2026 | Nokia Deepfield báo cáo một botnet nguồn gốc Mirai mới nhắm Android TV box qua ADB |
| **19/03/2026** | **DOJ và đối tác triệt phá Aisuru, Kimwolf, JackSkid, Mossad** |
| **25/03/2026** | **XLab bắt mẫu Dysphoria đầu tiên** (biến thể `jackskid`, qua ENS `m3rnbvs5d.eth`) |
| 01/04/2026 | Biến thể `fbot` xuất hiện |
| 29–30/04/2026 | Thuật toán mã hóa chuỗi RC4 tùy biến mới; ENS `ukranianhorseriding.eth` |
| Đầu 05/2026 | Lần đầu dùng SNS trên Solana: `24carnforth2merseyside.sol` |
| 10/06/2026 | ENS mới: `burrberry.eth` |
| **25/06/2026** | **Biến thể relay thuần** — bỏ hết module DDoS, chỉ làm node trung chuyển |
| 27–28/06/2026 | Bổ sung UPnP tự động; hoàn thiện chuỗi C2 lai "mẫu DDoS + danh sách node relay động" |
| 14–20/07/2026 | Giai đoạn giám sát: đỉnh 239.000 bot nước ngoài online/ngày |
| 25/07/2026 | XLab và CNCERT công bố báo cáo chung |

Tốc độ lặp của họ botnet này là điều XLab nhấn mạnh: từ một mẫu `jackskid` đơn giản cuối tháng 3 tới kiến trúc lai đầy đủ vào cuối tháng 6 — khoảng ba tháng, với các bước nâng cấp có ý nghĩa cách nhau vài tuần.

* * *

## Phân tích kỹ thuật

### Lây lan

Dysphoria phát tán chủ yếu qua **brute-force mật khẩu yếu Telnet/SSH** và khai thác các lỗ hổng thực thi mã từ xa đã biết trên thiết bị IoT — router, gateway, camera và các hệ thống Linux nhúng khác. XLab nhấn mạnh rằng tấn công mật khẩu yếu Telnet/SSH vẫn là phương thức lây nhiễm chính và ổn định nhất, còn khai thác lỗ hổng là kênh bổ sung.

Danh mục CVE trộn lẫn cũ và mới một cách có chủ đích:

```plaintext
CVE-2013-3307        CVE-2020-8515        CVE-2025-9528
CVE-2016-20016       CVE-2020-25499       CVE-2025-28137
CVE-2017-5259        CVE-2022-35733       CVE-2025-34152
CVE-2017-17215       CNVD-2021-79445      CVE-2025-55182
CVE-2018-14558
```

Trong đó có các lỗ hổng IoT kinh điển bị botnet khai thác nhiều năm — CVE-2017-17215 (Huawei), CVE-2020-8515 (DrayTek) — bên cạnh các lỗ hổng công bố gần đây: CVE-2025-55182 ("React2Shell"), CVE-2025-34152, CVE-2025-28137 (TOTOLINK), CVE-2025-9528 (Linksys). Việc duy trì cả hai nhóm cho thấy nhóm vận hành vẫn đang chủ động cập nhật khả năng lây lan để mở rộng độ phủ trên nhiều hãng và model thiết bị.

### Ngụy trang và bảo vệ chuỗi

Cả hai loại mẫu — DDoS và relay — đều có một đặc điểm chung khi chạy: **đổi tên tiến trình thành** `libdalvikengine.so`, giả dạng một thư viện hệ thống Android.

Về bảo vệ chuỗi, biến thể `fbot` mới nhất dùng một thuật toán RC4 độ chế đáng chú ý, mà XLab đánh giá là vay mượn một phần tư duy thiết kế từ `jackskid`:

*   **KSA giai đoạn 1:** khởi tạo RC4 chuẩn với khóa 16 byte
    
*   **KSA giai đoạn 2:** đưa vào một bộ sinh đồng dư tuyến tính (LCG) để xáo trộn S-box thêm **năm vòng**
    
*   **PRGA:** chèn bước dịch của thanh ghi dịch phản hồi tuyến tính (LFSR) vào quá trình sinh keystream, kèm hai lần hoán vị và các phép dịch bit phức tạp XLab công bố script Python khôi phục đầy đủ thuật toán này trong báo cáo gốc — đây là tài nguyên đáng lấy nếu đội của bạn cần phân tích mẫu.
    

### Giải mã C2 qua tên miền blockchain

Dysphoria hỗ trợ đồng thời ENS (Ethereum Name Service) và SNS (Solana Name Service). Nó truy vấn bản ghi `TXT` hoặc bản ghi tùy chỉnh của các tên miền này, với ánh xạ khóa như sau:

| Loại | Tên miền | Khóa truy vấn | Vai trò |
| --- | --- | --- | --- |
| ENS | `burrberry.eth` | `node` | Lấy IP của node phân phối relay |
| ENS | `ukranianhorseriding.eth` | `network` | Hạ tầng mạng cơ sở |
| SNS | `24carnforth2merseyside.sol` | `deserialized` | Hạ tầng mạng cơ sở |

**Lớp che giấu bằng địa chỉ IPv6 giả.** Bản ghi lấy về không chứa IP thật ở dạng rõ. Nó chứa một chuỗi các **địa chỉ IPv6 giả** phân tách bằng ký tự `|` — ví dụ `2001:db8:12e7:13d7::1`. Mẫu so sánh từng byte chuỗi để lọc ra 4 byte dữ liệu quan trọng, rồi đưa qua một hàm hoán vị tùy chỉnh để khôi phục địa chỉ IPv4 thật.

Hàm hoán vị đó xoay nửa byte, dịch phải theo vị trí, rồi XOR và cộng với một khóa 32-bit cứng trong mã. Trong ví dụ XLab đưa ra, bốn byte `12e7:13d7` giải ra thành `144.31.38.215`.

Kết quả: **địa chỉ máy chủ của kẻ tấn công không xuất hiện ở dạng rõ tại bất kỳ đâu** — không trong mẫu mã độc, không trong lưu lượng DNS, không trong bản ghi blockchain.

### Chuỗi C2 động ba tầng

Đây là phần thiết kế thông minh nhất, và là lý do khiến việc truy vết trở nên rất khó:

1.  Mẫu DDoS giải bản ghi `node` của `burrberry.eth`, giải mã ra một nhóm IP của các **node phân phối** (ví dụ `144.31.38.215`).
    
2.  Mẫu gửi HTTP GET tới các node đó theo dạng `http://<node_ip>:9000/nodes?key=meowmeowmeow`.
    
3.  Danh sách IP nhận về được mẫu dùng làm địa chỉ C2 thật để tương tác. Nhưng khi XLab truy ngược, họ phát hiện điều quan trọng nhất trong toàn bộ báo cáo: **toàn bộ các địa chỉ C2 "thật" trả về đó đều là những máy nạn nhân khác đã bị chuyển thành node trung chuyển.**
    

Nghĩa là không tồn tại một tầng hạ tầng nào thuộc sở hữu của kẻ tấn công để thu giữ. Bot nói chuyện với bot.

### Giao thức mạng

Trên nền `fbot`, Dysphoria tùy biến lại giao thức truyền thông tầng dưới. Gói lên mạng (login) và gói nhịp tim (heartbeat) đều **cố định 78 byte**:

```plaintext
Login Packet (78 bytes):
[0---1]  [2--------13]  [14--15]  [16------15+len]  [phần đệm]
Type(2B)  Magic(12B)     Length    Value (động)      Padding
 
Heartbeat Packet (78 bytes):
[0---1]  [2--------13]  [14----------------------------77]
Type(2B)  Magic(12B)              Padding
```

*   Login magic: `00 80 00 5a 00 57 00 c8 00 f0 00 1e` — MsgType `02 00`
    
*   Heartbeat magic: `22 ba 15 24 1a 6f 04 d4 1f 9c 0d 06` — MsgType `00 00` Lệnh tấn công dùng cấu trúc lồng nhiều tầng: `Duration(2B) | AtkType(1B) | TargetCnt(1B) | targets[] | FlagCnt(1B) | flags[]`, trong đó mỗi target gồm IP (4B) và netmask (1B), còn mỗi flag gồm Option (1B), Length (2B) và Value.
    

Kích thước gói cố định 78 byte cùng hai chuỗi magic là những artifact hiếm hoi có thể dùng làm chữ ký ở tầng mạng.

### Biến thể relay: biến nạn nhân thành hạ tầng

Biến thể độc lập xuất hiện cuối tháng 6 có chức năng rất thuần: **nó gỡ bỏ toàn bộ module tấn công DDoS, chỉ làm nhiệm vụ biến máy nạn nhân trong mạng nội bộ thành trạm trung chuyển ẩn của nhóm tội phạm.**

**Xuyên NAT tự động bằng UPnP.** Vì phần lớn thiết bị IoT và máy tính cá nhân nằm sau NAT, bên ngoài không kết nối trực tiếp được. Sau khi khởi động, mẫu relay phát quảng bá trong mạng LAN để tìm gateway hỗ trợ UPnP, rồi gọi dịch vụ kết nối WAN để **ánh xạ 155 cổng trên router**.

**Trung chuyển hai chiều bằng epoll.** Máy nạn nhân lắng nghe trên 155 cổng đó. Khi có lưu lượng từ bên ngoài kết nối tới cổng `bot:P`, mẫu relay lập tức mở kết nối ra ngoài tới `c2:P` (cùng số cổng), rồi dùng cơ chế I/O bất đồng bộ hiệu năng cao `epoll` của Linux để ràng hai đầu kết nối lại, thực hiện trung chuyển dữ liệu trong suốt theo cả hai chiều.

**Báo cáo trạng thái.** Mỗi hơn 4 giây, node relay gửi một báo cáo sức khỏe dạng JSON tới tên miền thu thập nhịp tim `login.trees4sale.net:9000`, khai báo khả năng phục vụ của chính nó:

```json
{
  "status": "ONLINE",
  "connections": 42,
  "bandwidth_mbps": 12.5
}
```

Trường `bandwidth_mbps` đáng chú ý: node tự báo cáo băng thông khả dụng của mình. Đây là hành vi của một hệ thống đang **quản lý tài nguyên hạ tầng**, không phải một botnet chỉ đếm số máy nhiễm.

* * *

## Quy mô và mô hình kinh doanh

![Xu hướng C2 hoạt động](https://blog.xlab.qianxin.com/content/images/2026/07/------2026-07-16-15.46.01.png align="center")

*Xu hướng số lượng C2 hoạt động, bao gồm cả các node trung chuyển (nguồn: XLab).*

Trong giai đoạn giám sát từ 14 đến 20/07/2026, XLab ghi nhận:

*   **4.401** bot được xác nhận hoạt động trong lãnh thổ Trung Quốc
    
*   Đỉnh **1.801** bot trong nước online mỗi ngày
    
*   Đỉnh **740.000** lượt bot truy cập C2 mỗi ngày
    
*   Đỉnh **239.000** bot nước ngoài online mỗi ngày Con số cuối cùng lớn hơn hẳn phần trong nước, và XLab giải thích lý do: vì Dysphoria dùng chính bot bị kiểm soát làm node trung chuyển C2, họ quan sát được quy mô bot nước ngoài rõ hơn.
    

![Quy mô bot trong nước](https://blog.xlab.qianxin.com/content/images/2026/07/640.png align="center")

*Số lượng bot online mỗi ngày trong lãnh thổ Trung Quốc (nguồn: XLab).*

Từ ảnh chụp màn hình panel điều khiển rò rỉ trên mạng xã hội, quy mô bot của Dysphoria duy trì dài hạn ở mức khoảng 200.000 máy. XLab đối chiếu con số này với dữ liệu giám sát liên tục của họ và thấy về cơ bản khớp nhau — đây là cách xác thực chéo tốt, và cũng cho thấy ảnh rò rỉ có độ tin cậy cao.

![Panel điều khiển rò rỉ](https://blog.xlab.qianxin.com/content/images/2026/07/2026-07-10-15.48.14.jpg align="center")

*Ảnh chụp panel điều khiển Dysphoria rò rỉ trên mạng xã hội (nguồn: XLab).*

Về thương mại hóa, trang quảng bá công khai của Dysphoria tuyên bố cung cấp năng lực tấn công DDoS tối đa khoảng **4 Tbps**, bán theo các gói khác nhau với giá dao động từ vài chục tới vài trăm đô la Mỹ tùy thời lượng và băng thông. XLab đánh giá đây là mô hình vận hành thương mại đã tương đối trưởng thành.

![Trang bán dịch vụ](https://blog.xlab.qianxin.com/content/images/2026/07/dysphorianetwork.st-2026-07-10-15.54.10.png align="center")

*Mô hình vận hành thương mại và bảng gói dịch vụ trên trang quảng bá công khai (nguồn: XLab).*

Cần đặt con số 4 Tbps vào đúng bối cảnh: nó thấp hơn nhiều so với kỷ lục 31,4 Tbps mà Aisuru/Kimwolf đạt được. Nhưng vẫn đủ để gây gián đoạn đáng kể cho phần lớn tổ chức không có dịch vụ chống DDoS quy mô lớn.

![Xu hướng mục tiêu tấn công](https://blog.xlab.qianxin.com/content/images/2026/07/------2026-07-16-15.45.46.png align="center")

*Xu hướng mục tiêu tấn công DDoS của Dysphoria (nguồn: XLab).*

Về hoạt động tấn công, mục tiêu của Dysphoria trải khắp toàn cầu, bao phủ nhiều ngành gồm dịch vụ internet và game. Theo giám sát liên tục, hoạt động tấn công diễn ra gần như hằng ngày và duy trì mức độ hoạt động cao.

* * *

## IOC

> IOC lấy từ [báo cáo chung của QiAnXin XLab và CNCERT](https://blog.xlab.qianxin.com/dysphoria/). Domain đã defang. Chỉ re-fang trong môi trường kiểm soát.

**IP máy chủ tải xuống / C2**

```plaintext
217.60.195[.]160
76.164.203[.]171
92.42.100[.]131
78.153.155[.]152
144.31.38[.]215        # node phân phối, giải ra từ bản ghi ENS
```

> Các máy chủ này còn có một banner FTP đặc trưng có thể dùng làm chữ ký phát hiện. Chuỗi banner chứa ngôn từ xúc phạm nhắm vào một nhà báo bảo mật nên không được đưa vào đây; xem báo cáo gốc của XLab nếu cần giá trị đầy đủ để xây dựng rule.

**Tên miền hạ tầng**

```plaintext
i.peer4you[.]net
o.peer4you[.]net
login.trees4sale[.]net           # thu thập nhịp tim của node relay, cổng 9000
www.trees4sale[.]net
c2.saintpetersburgresident[.]ru
peer.saintpetersburgresident[.]ru
kieron.androiddebugbridge[.]su
dysphoria.androiddebugbridge[.]su
telaviv.androiddebugbridge[.]su
jerusalem.androiddebugbridge[.]su
node.androiddebugbridge[.]su
wow.androiddebugbridge[.]su
```

> Cụm `androiddebugbridge[.]su` gồm sáu subdomain là chi tiết đáng chú ý — tên miền này gọi thẳng tên giao thức ADB, đúng vector mà Fbot dùng để lây năm 2018 và Nokia Deepfield ghi nhận lại vào tháng 03/2026.

**Tên miền blockchain**

```plaintext
m3rnbvs5d[.]eth                  # ENS — biến thể jackskid ban đầu
burrberry[.]eth                  # ENS — khóa "node", node phân phối relay
ukranianhorseriding[.]eth        # ENS — khóa "network"
24carnforth2merseyside[.]sol     # SNS — khóa "deserialized"
```

**Hash mẫu (SHA-1)**

```plaintext
c1bedea261f325441fb9a75c50b11d0c8fb01ac6    # biến thể jackskid, 25/03
a3b9575897c16cbf6afe3af1aa8b55171ea6edf9
8db6c78533c176f13b61405cdc3f8fad703325f1
9c1716d770ea69e8e1418d96d52222396ecb4362
73651c02b29f1c07e3177e86c967fc45e9f30f0f
955ff909972958098f0d4a06bcc4d6b9eea90449
25081bdec05f64eb4f313420c82d8de957e30026
dcea71b9ab9de8efca301de9e2f7bf11c7132364
df510f6f69a5c149c216c7b3accc4f460d8cf363
b0782a9d6eef2ce02f734a6e5e1d8e0f9a2b65be    # biến thể relay thuần, 25/06
e7e1694162639ed587625432a79cfaa49f560d11
b7faa44ab0772047a8581bbfdd9c561e28fc66de
```

**Artifact hành vi và mạng**

```plaintext
# Trên thiết bị
Tên tiến trình: libdalvikengine.so          (cả mẫu DDoS lẫn mẫu relay)
155 quy tắc ánh xạ cổng UPnP được tạo trên gateway
Chuỗi đặc trưng: "android has no compatible libc library"   (biến thể jackskid)
Chuỗi đặc trưng: "hail china mainland"                      (biến thể fbot)
 
# Trên mạng
Truy vấn tới ENS / SNS resolver phát ra từ router, camera hoặc thiết bị IoT
Gói TCP cố định 78 byte với magic:
  00 80 00 5a 00 57 00 c8 00 f0 00 1e    (login, MsgType 02 00)
  22 ba 15 24 1a 6f 04 d4 1f 9c 0d 06    (heartbeat, MsgType 00 00)
HTTP GET tới  <ip>:9000/nodes?key=meowmeowmeow
POST JSON tới cổng 9000 chứa các trường: status / connections / bandwidth_mbps
Chuỗi IPv6 phân tách bằng "|" trong bản ghi TXT của tên miền blockchain
Quét cổng TCP 23, 22 (Telnet/SSH brute-force) từ thiết bị nội bộ
```

**CVE bị khai thác**

```plaintext
CNVD-2021-79445    CVE-2018-14558    CVE-2025-9528
CVE-2013-3307      CVE-2020-25499    CVE-2025-28137     (TOTOLINK)
CVE-2016-20016     CVE-2020-8515     (DrayTek)          CVE-2025-34152
CVE-2017-17215     (Huawei)          CVE-2022-35733     CVE-2025-55182     (React2Shell)
CVE-2017-5259
```

* * *

## MITRE ATT&CK Mapping

| Tactic | Technique ID | Technique Name | Ghi nhận trong chiến dịch |
| --- | --- | --- | --- |
| Initial Access | T1110.001 | Brute Force: Password Guessing | Brute-force Telnet/SSH mật khẩu yếu |
| Initial Access | T1190 | Exploit Public-Facing Application | 13 CVE trên router, camera, gateway |
| Initial Access | T1078.001 | Valid Accounts: Default Accounts | Thông tin đăng nhập mặc định trên thiết bị IoT |
| Execution | T1059.004 | Unix Shell | Script shell triển khai payload |
| Defense Evasion | T1036.004 | Masquerading: Masquerade Task or Service | Đổi tên tiến trình thành `libdalvikengine.so` |
| Defense Evasion | T1027 | Obfuscated Files or Information | RC4 độ chế với LCG và LFSR |
| Defense Evasion | T1140 | Deobfuscate/Decode Files or Information | Giải mã chuỗi và khôi phục IP từ IPv6 giả |
| Command and Control | T1102 | Web Service | ENS và SNS làm dead drop resolver |
| Command and Control | T1568.003 | Dynamic Resolution: DNS Calculation | Hàm hoán vị byte khôi phục IPv4 từ IPv6 giả |
| Command and Control | T1008 | Fallback Channels | Dự phòng đa chuỗi (Ethereum và Solana) |
| Command and Control | T1090.001 | Proxy: Internal Proxy | Node relay trong mạng nội bộ của nạn nhân |
| Command and Control | T1090.003 | Proxy: Multi-hop Proxy | C2 thật là các bot khác đóng vai trung chuyển |
| Command and Control | T1572 | Protocol Tunneling | Trung chuyển hai chiều bằng epoll qua 155 cổng |
| Command and Control | T1571 | Non-Standard Port | Cổng 9000 cho phân phối node và báo cáo trạng thái |
| Command and Control | T1105 | Ingress Tool Transfer | Tải payload từ máy chủ phân phối |
| Impact | T1498 | Network Denial of Service | Dịch vụ DDoS thương mại |
| Impact | T1498.001 | Direct Network Flood | Các loại tấn công theo `AtkType` |
| Resource Development | T1583.001 | Acquire Infrastructure: Domains | Đăng ký tên miền ENS và SNS |

> `[NEEDS VERIFICATION]` — hai điểm cần đối chiếu trước khi đưa vào Navigator layer. Thứ nhất, T1568.003 (DNS Calculation) mô tả việc tính toán từ giá trị DNS trả về; cơ chế của Dysphoria là giải mã hoán vị byte từ bản ghi trên blockchain, gần nhưng không trùng khớp hoàn toàn. Thứ hai, **chưa có technique riêng cho việc lạm dụng ENS/SNS làm hạ tầng phân giải C2** — T1102 (Web Service) là chỗ đặt hợp lý nhất hiện có, nhưng nó không nắm được đặc tính "không thể thu giữ" vốn là toàn bộ lý do kẻ tấn công chọn cơ chế này.

* * *

## Nhận định

**Dysphoria là một câu trả lời kỹ thuật, không phải một botnet mới.**

Thông cáo của DOJ nêu rõ cuộc triệt phá tháng 3 nhắm vào máy chủ ảo, tên miền internet và hạ tầng khác. Ba tháng sau, Dysphoria hoàn thiện một kiến trúc trong đó cả ba thứ đó đều không tồn tại theo cách có thể thu giữ được:

*   **Tên miền:** ENS và SNS không có cơ quan đăng ký để nhận lệnh của tòa án. Bản ghi nằm trên sổ cái phân tán, cập nhật bằng giao dịch blockchain.
    
*   **Máy chủ C2:** các địa chỉ mà bot thực sự kết nối tới là router và camera của nạn nhân khác.
    
*   **Hạ tầng dự phòng:** nằm trên hai blockchain độc lập. Khi node C2 chính là thiết bị của nạn nhân, "thu giữ hạ tầng C2" đồng nghĩa với "thu giữ router của hàng trăm nghìn hộ gia đình và doanh nghiệp trên toàn thế giới". Đó là điều không hệ thống pháp lý nào thực hiện được ở quy mô này.
    

**Nhưng cần công bằng với cuộc triệt phá.** Nó vẫn là một thành công thật: hơn ba triệu thiết bị được giải phóng khỏi sự kiểm soát, và các cơ quan tại Canada và Đức nhắm trực tiếp vào con người vận hành chứ không chỉ hạ tầng. Đối chiếu quy mô cũng nói lên điều gì đó: Dysphoria hiện có 200.000 bot và quảng cáo 4 Tbps, so với ba triệu thiết bị và 31,4 Tbps của thế hệ trước. Cuộc triệt phá đã đặt lại đồng hồ. Vấn đề là nó không đặt lại được ý tưởng.

**Về việc ý tưởng không mới.** Fbot đã dùng blockchain DNS từ 2018 và 360Netlab đã cảnh báo chính xác điều gì sẽ xảy ra: hệ thống bảo mật sẽ thất bại nếu chỉ tìm kiếm tên miền DNS truyền thống. Tám năm trôi qua, và cảnh báo đó giờ áp dụng cho một botnet 200.000 máy chứ không phải một con sâu kỳ quặc đi diệt phần mềm đào coin.

Cái thay đổi trong tám năm là **hệ sinh thái**. EmerDNS năm 2018 là một ngách nhỏ; nếu cần, có thể chặn toàn bộ mà gần như không ai bị ảnh hưởng. ENS và SNS năm 2026 thì không — chúng có hàng triệu người dùng hợp pháp, tích hợp vào ví và ứng dụng phổ biến. Chặn chúng ở tầng doanh nghiệp thì được; chặn ở tầng hạ tầng internet thì không. Đây là cùng một logic mà chúng ta đã thấy với `*.workers.dev` và các dịch vụ đám mây khác: **rào cản không phải kỹ thuật mà là hệ quả phụ.**

**Điểm phát hiện rẻ nhất trong cả bài:** một router, một camera IP hay một đầu ghi hình gửi truy vấn tới dịch vụ phân giải tên miền blockchain là hành vi gần như không bao giờ hợp lệ. Thiết bị IoT không có lý do nghiệp vụ nào để tra cứu ENS hay SNS. Đây là tín hiệu ít nhiễu, không cần biết trước tên mã độc, và nằm đúng ở mắt xích mà toàn bộ chuỗi C2 bắt buộc phải đi qua.

### Liên hệ Việt Nam

**Danh sách CVE trúng đúng thiết bị phổ biến trong nước.** TOTOLINK (CVE-2025-28137) và DrayTek (CVE-2020-8515) là hai dòng thiết bị rất phổ biến trong doanh nghiệp vừa và nhỏ cùng hộ gia đình tại Việt Nam. Huawei HG532 (CVE-2017-17215) từng được các nhà mạng phát cho khách hàng và vẫn còn nhiều thiết bị trong lưu thông. Đây không phải danh sách nhắm vào hạ tầng doanh nghiệp lớn — nó nhắm vào thứ nằm trong tủ điện của mọi văn phòng nhỏ.

**Hai thói quen cấu hình làm tăng rủi ro.** Thứ nhất, mật khẩu Telnet/SSH mặc định hiếm khi được đổi trên thiết bị mạng ở văn phòng nhỏ và hộ gia đình — và XLab xác nhận đây vẫn là kênh lây nhiễm chính, ổn định hơn cả khai thác lỗ hổng. Thứ hai, **UPnP bật mặc định** trên phần lớn router tiêu dùng, và đó chính xác là cơ chế mà biến thể relay dùng để mở 155 cổng.

**Rủi ro lớn nhất không phải băng thông.** Với một botnet DDoS thông thường, thiệt hại của nạn nhân bị nhiễm chủ yếu là băng thông và hiệu năng thiết bị. Biến thể relay của Dysphoria thay đổi bản chất đó: thiết bị của bạn trở thành **node hạ tầng C2 phục vụ tấn công vào tổ chức khác**.

Hệ quả thực tế với doanh nghiệp: địa chỉ IP công cộng của công ty bạn xuất hiện trong log của nạn nhân ở nước khác với vai trò **hạ tầng tấn công**, không phải nạn nhân. Điều này kéo theo rủi ro pháp lý, rủi ro bị đưa vào danh sách chặn của các nhà cung cấp dịch vụ, và rủi ro uy tín khi đối tác quốc tế rà soát. Với các doanh nghiệp làm dịch vụ cho khách hàng nước ngoài, đây là loại rủi ro cần được nêu trong đánh giá, không chỉ là "một thiết bị bị nhiễm mã độc".

* * *

## Khuyến nghị

*   **Tắt UPnP trên thiết bị biên** trừ khi có nhu cầu nghiệp vụ rõ ràng, và rà soát ngay các quy tắc ánh xạ cổng hiện có trên router — 155 quy tắc mới xuất hiện là dấu hiệu không thể nhầm lẫn.
    
*   **Đổi mật khẩu mặc định và tắt Telnet** trên toàn bộ router, camera, đầu ghi hình và thiết bị Linux nhúng; chặn truy cập quản trị từ phía WAN.
    
*   **Giám sát truy vấn tới dịch vụ phân giải ENS/SNS phát ra từ phân đoạn mạng IoT** — thiết bị IoT không có lý do hợp lệ nào để tra cứu tên miền blockchain.
    
*   **Kiểm kê thiết bị theo danh sách CVE trong bài**, ưu tiên TOTOLINK, DrayTek và các router do nhà mạng cấp; cập nhật firmware hoặc thay thế nếu đã hết hỗ trợ.
    
*   **Tách mạng IoT khỏi mạng nghiệp vụ** và giới hạn lưu lượng đi ra từ phân đoạn đó — một thiết bị bị chiếm không nên có khả năng mở kết nối tùy ý ra internet.
    
*   **Nếu nghi ngờ đã nhiễm:** cô lập thiết bị, khôi phục firmware về bản gốc mới nhất thay vì chỉ khởi động lại, đổi toàn bộ thông tin đăng nhập, và kiểm tra xem IP công cộng của tổ chức có bị đưa vào danh sách chặn nào không.
    

* * *

## Tài liệu tham khảo

*   QiAnXin XLab và CNCERT — [Botnet mới nổi Dysphoria: phân tích tiến hóa và kỹ thuật chuyên sâu](https://blog.xlab.qianxin.com/dysphoria/) (25/07/2026) — báo cáo gốc, bao gồm script Python giải mã RC4 và hàm khôi phục IP
    
*   BleepingComputer — [New Dysphoria DDoS botnet spreads to 200k devices worldwide](https://www.bleepingcomputer.com/news/security/new-dysphoria-ddos-botnet-spreads-to-200k-devices-worldwide/) (27/07/2026)
    
*   BleepingComputer — [Aisuru, Kimwolf, JackSkid and Mossad botnets disrupted in joint action](https://www.bleepingcomputer.com/news/security/aisuru-kimwolf-jackskid-and-mossad-botnets-disrupted-in-joint-action/) (20/03/2026)
    
*   BleepingComputer — [New Botnet Hides in Blockchain DNS Mist and Removes Cryptominer](https://www.bleepingcomputer.com/news/security/new-botnet-hides-in-blockchain-dns-mist-and-removes-cryptominer/) (17/09/2018)
    
*   360Netlab — [Fbot, A Satori Related Botnet Using Block-chain DNS System](https://blog.netlab.360.com/threat-alert-a-new-worm-fbot-cleaning-adbminer-is-using-a-blockchain-based-dns-en/) (2018)
    
*   Krebs on Security — [Feds Disrupt IoT Botnets Behind Huge DDoS Attacks](https://krebsonsecurity.com/2026/03/feds-disrupt-iot-botnets-behind-huge-ddos-attacks/)
    
*   The Hacker News — [DoJ Disrupts 3 Million-Device IoT Botnets Behind Record 31.4 Tbps Global DDoS Attacks](https://thehackernews.com/2026/03/doj-disrupts-3-million-device-iot.html)
    
*   SecurityWeek — [Aisuru and Kimwolf DDoS Botnets Disrupted in International Operation](https://www.securityweek.com/aisuru-and-kimwolf-ddos-botnets-disrupted-in-international-operation/)
    
*   CyberScoop — [Justice Department disrupts botnet networks that hijacked 3 million devices](https://cyberscoop.com/botnet-disruption-aisuru-kimwolf-jackskid-mossad/)
    
*   Team Cymru — [Team Cymru & DOJ Disrupt World's Largest IoT DDoS Botnets](https://www.team-cymru.com/post/team-cymru-doj-iot-ddos-botnet-disruption)
    
*   Security Affairs — [Dysphoria Botnet Uses Blockchain Domains to Hide C2 Infrastructure](https://securityaffairs.com/196182/malware/dysphoria-botnet-uses-blockchain-domains-to-hide-c2-infrastructure.html)
    
*   Help Net Security — [Authorities disrupt four IoT botnets behind record DDoS attacks](https://www.helpnetsecurity.com/2026/03/20/us-disrupts-iot-botnets-ddos-attacks-aisuru-kimwolf/)