Botnet ที่ชื่อว่า Dysphoria ได้เจาะระบบ และควบคุมอุปกรณ์ประมาณ 200,000 เครื่องทั่วโลก โดยนำอุปกรณ์เหล่านี้ไปใช้ในการโจมตีแบบ Distributed Denial of Service (DDoS) และใช้เป็นช่องทางในการส่งผ่านข้อมูล
อ้างอิงจากทีมนักวิจัยด้านความปลอดภัยทางไซเบอร์ของ QiAnXin XLab ระบุว่า Dysphoria ถูกพัฒนาต่อยอดมาจากมัลแวร์ ‘jackskid’ และ ‘fbot’ โดยมีการเพิ่มกลไกแอบแฝงในการค้นหาพิกัดเซิร์ฟเวอร์ Command-and-Control (C2) ซึ่งทำงานอยู่บนเทคโนโลยี Blockchain
ในรายละเอียดทางเทคนิค Botnet ตัวนี้ใช้ Domains บนเครือข่ายอย่าง Ethereum ENS และ Solana SNS เพื่อใช้ดึงข้อมูลโครงสร้างพื้นฐานของตัวมันเอง ในขณะที่ที่อยู่ของเซิร์ฟเวอร์ C2 จะถูกซ่อนไว้ในรูปแบบของ IPv6 strings ปลอม และจะถูก Recovered กลับมาโดยใช้ Custom byte-transformation algorithm ที่ปรับแต่งขึ้นมาโดยเฉพาะ
นักวิจัยค้นพบ Dysphoria ครั้งแรกเมื่อวันที่ 25 มีนาคมที่ผ่านมา และตรวจพบการปรับปรุงเวอร์ชันหลายครั้งที่มีการอัปเดตฟีเจอร์สำคัญ เช่น Algorithm สำหรับการดึงที่อยู่ของ C2, การรองรับเครือข่าย Blockchain แบบ Multi-chain, การใช้ Domains ใหม่ ๆ และการแยกฟังก์ชันการทำงานออกจากกันอย่างชัดเจนระหว่างสายพันธุ์ที่ทำหน้าที่ Relay traffic และสายพันธุ์ที่ใช้โจมตี DDoS
XLab ระบุว่า "ตั้งแต่ช่วงไตรมาสแรกของปี 2026 ทาง XLAB ได้เฝ้าติดตามกลุ่ม Botnet ใหม่ที่ชื่อว่า Dysphoria อย่างต่อเนื่อง ซึ่งขณะนี้มีจำนวน Bot ในเครือข่ายทะลุ 200,000 เครื่องแล้ว"
"ภายในเวลาเพียงไม่กี่เดือน มัลแวร์กลุ่มนี้มีการอัปเดตสายพันธุ์ใหม่ และปรับเปลี่ยนเทคนิคอย่างบ่อยครั้ง ซึ่งแสดงให้เห็นถึงความแข็งแกร่งที่มีความยืดหยุ่นสูงมาก"
ทั้งนี้ การนำเทคโนโลยี Blockchain มาใช้ร่วมกับปฏิบัติการ C2 ส่งผลให้โครงสร้างพื้นฐานของ Botnet โดยรวมนั้น ยากต่อการแกะรอย และทลายเครือข่ายลงได้อย่างมาก
จากการวิเคราะห์ของทีมวิจัยพบว่า เครื่อง Clients ที่ติดมัลแวร์จะส่งแพ็กเก็ตข้อมูลสำหรับการล็อกอิน และ Heartbeat ขนาดคงที่ 78 byte กลับไปยังเซิร์ฟเวอร์ C2 และจะรับคำสั่งโจมตี DDoS จากผู้ควบคุม ซึ่งประกอบไปด้วยข้อมูลระยะเวลาในการโจมตี, รูปแบบ, เป้าหมาย, และ Flags ที่สามารถตั้งค่าได้
ในช่วงปลายเดือนมิถุนายน XLab ได้ตรวจพบสายพันธุ์อื่นที่มุ่งเน้นไปที่การเปลี่ยนอุปกรณ์ที่ติดมัลแวร์ให้กลายเป็น Network proxies เพียงอย่างเดียว โดยตัดฟังก์ชันการโจมตี DDoS ออกไปอย่างสิ้นเชิง
นอกจากนี้ มัลแวร์ดังกล่าวยังลักลอบใช้งานระบบ UPnP (Universal Plug and Play) บนอุปกรณ์ที่ถูกเจาะระบบ เพื่อสร้าง Port forwarding rules จำนวน 155 รายการ ซึ่งทำให้ Internal services เปิดรับการเชื่อมต่อ Inbound จากอินเทอร์เน็ตได้
รายงานของ XLab ระบุว่า Botnet แพร่กระจายผ่านการใช้ Credentials ของบริการ Telnet และ SSH ที่คาดเดาง่าย รวมถึงการโจมตีผ่านช่องโหว่ที่เป็นที่รู้จักบนเราเตอร์, กล้องวงจรปิด, และอุปกรณ์ IoT ต่าง ๆ
ช่องโหว่ใหม่ ๆ ที่ถูกนำมาใช้ในการโจมตี ได้แก่ CVE-2025-55182 (“React2Shell”), CVE-2025-34152, CVE-2025-28137 (พบในอุปกรณ์ Totolink) และ CVE-2025-9528 (พบในอุปกรณ์ Linksys) อย่างไรก็ตาม Dysphoria ยังคงมุ่งเป้าไปที่ช่องโหว่เก่าที่ยังไม่ได้รับการแก้ไขในหลายอุปกรณ์ เช่น CVE-2017-17215 (Huawei) และ CVE-2020-8515 (DrayTek)
XLab ได้เฝ้าติดตาม Botnet ตัวนี้ระหว่างวันที่ 14 ถึง 20 กรกฎาคม และบันทึกสถิติสูงสุดที่มีการ Pings จากเครื่องที่ติดมัลแวร์ถึง 740,000 ครั้งต่อวัน โดยเป็นการเชื่อมต่อจากเครื่อง Clients ในต่างประเทศ 239,000 ครั้ง และจากในประเทศจีน 1,800 ครั้ง
ทำให้นักวิจัยประเมินว่า ปัจจุบันมีจำนวนอุปกรณ์ที่ติดมัลแวร์อยู่ประมาณ 200,000 เครื่อง
สำหรับขีดความสามารถในการโจมตี ผู้ควบคุม Botnet ได้อ้างบนเว็บไซต์ของตนว่ามีศักยภาพในการทำ DDoS สูงสุดถึง 4 Tbps โดยเว็บไซต์ดังกล่าวมีโฆษณาบังหน้าว่าเป็นการให้บริการ Stress-tester อย่างถูกต้อง
แม้ว่าตัวเลขนี้จะต่ำกว่าสถิติสูงสุดในปัจจุบันที่ 31.4 Tbps ซึ่งทำไว้โดย Botnet Aisuru/Kimwolf เมื่อเดือนธันวาคม 2025 อย่างมาก แต่การโจมตีระดับ 4 Tbps ก็ยังรุนแรงเพียงพอที่จะก่อให้เกิดปัญหาการหยุดชะงักของระบบได้อย่างรุนแรง
ผู้ใช้งานสามารถป้องกันอุปกรณ์จากการติด Botnet ได้โดยการอัปเดต Firmware ของอุปกรณ์ให้เป็นเวอร์ชันล่าสุดอยู่เสมอ, เปลี่ยนรหัสผ่านผู้ดูแลระบบ (Administrator password) ที่ตั้งค่ามาจากโรงงาน, ปิดการใช้งานการเข้าถึงจากระยะไกล (Remote access) หากไม่มีความจำเป็นต้องใช้งาน และยกระดับการตั้งค่าความปลอดภัย บนอุปกรณ์ให้รัดกุมที่สุดเท่าที่จะทำได้
ที่มา : Bleepingcomputer
You must be logged in to post a comment.