QiAnXin XLab의 사이버보안 연구진에 따르면, Dysphoria라는 새로운 봇넷이 전 세계적으로 약 20만 대의 기기를 감염시켜 분산 서비스 거부(DDoS) 공격과 트래픽 릴레이 작업에 활용되고 있다. Dysphoria는 기존 ‘jackskid’와 ‘fbot’ 악성코드에서 진화했으며, 이더리움 ENS와 Solana SNS 도메인을 이용한 블록체인 기반 명령·제어(C2) 메커니즘을 도입해 추적과 해체가 어려워졌다. C2 주소는 가짜 IPv6 문자열에 숨겨져 있으며, 맞춤형 바이트 변환 알고리즘으로 복구된다.
연구진은 2026년 1분기부터 Dysphoria를 추적해왔으며, 이 봇넷은 짧은 기간 동안 여러 차례 변종과 기술적 업데이트를 거치며 강한 생존력을 보였다. 감염된 클라이언트는 고정된 78바이트의 로그인 및 하트비트 패킷을 C2로 전송하고, 운영자로부터 공격 명령을 수신한다. 6월 말에는 DDoS 기능을 제거하고 감염 기기를 네트워크 프록시로만 활용하는 변종도 발견되었다. 이 악성코드는 UPnP를 악용해 155개의 포트 포워딩 규칙을 생성, 내부 서비스를 외부에 노출시킨다.
Dysphoria는 취약한 Telnet·SSH 계정과 라우터, 카메라 등 IoT 기기의 알려진 취약점을 통해 확산된다. 최근에는 CVE-2025-55182, CVE-2025-34152, CVE-2025-28137, CVE-2025-9528 등 최신 취약점뿐 아니라, CVE-2017-17215, CVE-2020-8515 등 과거 취약점도 악용한다. XLab은 하루 최대 74만 건의 감염 호스트 신호를 기록했으며, Dysphoria 운영자는 최대 4Tbps의 DDoS 공격력을 주장한다. 사용자는 펌웨어 업데이트, 관리자 비밀번호 변경, 불필요한 원격 접속 차단 등으로 감염을 예방할 수 있다.
※ 이 글은 생성형 AI(gpt4.1)에 의해 요약되었습니다.