Un nouveau botnet en pleine expansion a été débusqué par les chercheurs de QiAnXin XLab. Identifié au cours du premier trimestre 2026, le botnet s’intitule Dysphoria et vise surtout des objets connectés, comme des routeurs ou des caméras. Selon les chercheurs, le réseau sous la coupe de Dysphoria est composé de 200 000 appareils éparpillés dans le monde entier. Le rapport parle d’une famille complète de botnets « émergente » et qui prend énormément d’ampleur.
« En quelques mois seulement, la famille a bénéficié de fréquentes mises à jour de variantes et d’itérations techniques, démontrant une résilience extrêmement forte », expliquent les chercheurs chinois.
Attaques DDoS et relais réseau
Pour arriver à ses fins, le virus se sert de différentes tactiques éculées. Il commence par tester automatiquement des mots de passe courants ou par défaut. En effet, beaucoup d’utilisateurs ne changent jamais les identifiants par défaut de leurs appareils, ce qui ouvre grand la porte aux attaquants. Il exploite également plusieurs vulnérabilités connues, dont des failles de routeurs grand public, comme le Linksys E1700.
Les appareils compromis sont principalement utilisés pour lancer des attaques par déni de service distribué (DDoS). En bombardant de requêtes les serveurs d’un site web ou d’une entreprise, les pirates peuvent le rendre hors service. Sur le site web présentant les services du botnet, les pirates mettent en avant une puissance de frappe DDoS maximale de 4 térabits par seconde. Il fait donc partie des botnets les plus redoutables qui existent en ce moment. Le botnet est aussi massivement utilisé pour masquer le trafic d’autres opérations malveillantes. Certaines variantes du botnet abandonnent même purement et simplement les fonctions DDoS pour se concentrer sur le relais de trafic réseau.
À lire aussi : Un hacker russe se sert de Gemini pour piloter son botnet à sa place
Un botnet qui utilise la blockchain pour passer inaperçu
Les chercheurs soulignent que Dysphoria se distingue fortement des autres botnets massivement utilisés par les cybercriminels, et qui sont bien souvent basés sur le code du botnet Mirai. Plutôt que de reposer sur des domaines ou des adresses IP fixes, le botnet utilise des services de noms décentralisés sur la blockchain, comme l’Ethereum Name Service (ENS) et le Solana Name Service (SNS).
En clair, les appareils infectés reçoivent l’adresse de leur serveur de commande par le biais de noms de domaine liés à la blockchain. Pour brouiller encore davantage les pistes, ces instructions sont parfois maquillées en fausses adresses IPv6, un format d’adresse réseau normalement utilisé pour identifier des appareils sur internet. Les outils de surveillance classiques, habitués à repérer des adresses IP suspectes, se font ainsi berner et ne remarquent pas le passage d’instructions destinées au botnet.
De plus en plus de pirates se servent des technologies blockchain pour passer inaperçus et pouvoir opérer dans l’ombre. C’est aussi le cas des hackers nord-coréens, qui se sont mis à cacher des scripts malveillants dans des contrats intelligents (smart-contracts) sur la blockchain Ethereum ou sur la Binance Smart Chain, ou du malware TrickMo, qui reçoit ses instructions de la blockchain TON (The Open Network).
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
