Publié le 28 juillet 2026 à 19:10 par Jérôme G.

À peine une infrastructure de botnet est-elle démantelée qu'une autre, plus sophistiquée, émerge de ses cendres, utilisant la blockchain pour se dissimuler et complexifier sa neutralisation.

Identifié depuis le premier trimestre 2026 par les chercheurs de XLab et du CNCERT, le botnet Dysphoria représente une menace grandissante. Avec un parc de plus de 200 000 appareils compromis à l'échelle mondiale, essentiellement des objets connectés (IoT), le malware a connu une évolution fulgurante en quelques mois.

La blockchain pour se rendre insaisissable

Dysphoria innove dans son mécanisme de dissimulation des serveurs de commande et de contrôle. Plutôt que de reposer sur des adresses IP ou des domaines classiques, le botnet utilise des services de noms basés sur la blockchain.

Il s'appuie notamment sur l'Ethereum Name Service (ENS) et le Solana Name Service (SNS) pour récupérer les informations sur son infrastructure, rendant les opérations de démantèlement beaucoup plus complexes.

Le malware interroge des domaines comme burrberry.eth pour obtenir une liste de nœuds de distribution. Ces informations, souvent cachées dans de fausses adresses IPv6, sont ensuite décodées via un algorithme personnalisé pour révéler les véritables adresses IP.

Cette méthode, couplée à un chiffrement RC4 modifié pour protéger ses chaînes de caractères, garantit un haut niveau de furtivité.

Une double menace pour les victimes

La principale activité de Dysphoria est de lancer des attaques par déni de service distribué (DDoS). Les opérateurs du botnet revendiquent sur leur site une capacité de frappe de 4 Tbit/s, suffisante pour perturber sérieusement de grands services en ligne. Les commandes d'attaque sont structurées pour spécifier la durée, le type d'assaut et les cibles.

Observée fin juin, une évolution a révélé une seconde fonction. Une variante du malware a été découverte, dépourvue de toute capacité d'attaque. Son unique rôle est de transformer l'appareil infecté en un nœud de relais ou un proxy.

En utilisant le protocole UPnP pour ouvrir automatiquement des ports sur le routeur d'une victime, le malware transforme des milliers d'appareils domestiques en une infrastructure de commande et de contrôle cachée.

Du classique pour la propagation du malware

La propagation de Dysphoria s'effectue via des méthodes éprouvées. Le botnet cible les objets connectés en exploitant des mots de passe faibles grâce à des attaques par force brute sur les services Telnet et SSH.

Les chercheurs soulignent que cette méthode est complétée par l'exploitation d'une série de vulnérabilités connues, anciennes comme récentes, pour maximiser sa portée.

Journaliste GNT spécialisé en nouvelles technologies

Cette page peut contenir des liens affiliés. Si vous achetez un produit depuis ces liens, le site marchand nous reversera une commission sans que cela n'impacte en rien le montant de votre achat. En savoir plus.