Una nueva botnet bautizada como Dysphoria se ha convertido en una de las amenazas emergentes más relevantes del panorama de la ciberseguridad.
Los investigadores de QiAnXin XLab estiman que la red maliciosa ha comprometido ya alrededor de 200.000 dispositivos conectados a Internet, utilizados tanto para lanzar ataques distribuidos de denegación de servicio (DDoS) como para actuar como nodos de retransmisión de tráfico.
Los analistas detectaron la actividad de Dysphoria por primera vez el pasado 25 de marzo y, desde entonces, han observado una rápida evolución del malware.
En apenas unos meses, sus desarrolladores han incorporado nuevas funciones, mejorado su infraestructura y desplegado múltiples variantes, lo que demuestra un elevado nivel de desarrollo y una gran capacidad de adaptación.
Infraestructura basada en blockchain
Uno de los aspectos más llamativos de Dysphoria es su sistema de mando y control (C2). A diferencia de las botnets tradicionales, esta amenaza emplea servicios de nombres basados en blockchain, utilizando dominios de Ethereum Name Service (ENS) y Solana Name Service (SNS) para localizar su infraestructura.
Además, las direcciones de los servidores de control se ocultan dentro de falsas direcciones IPv6 y se recuperan mediante un algoritmo de transformación propio. Este mecanismo dificulta considerablemente la identificación y el desmantelamiento de la infraestructura utilizada por los atacantes.
Dos variantes con funciones diferenciadas
El análisis de QiAnXin XLab revela que Dysphoria ha evolucionado hacia una arquitectura más especializada.
La variante principal convierte los dispositivos comprometidos en participantes de ataques DDoS. Una vez infectado, cada equipo establece comunicaciones periódicas con el servidor de control y recibe instrucciones que incluyen el objetivo del ataque, su duración y el tipo de tráfico que debe generar.
Sin embargo, a finales de junio apareció una segunda variante que abandona por completo la funcionalidad de denegación de servicio para centrarse exclusivamente en transformar los dispositivos infectados en servidores proxy.
Para ello, el malware aprovecha el protocolo UPnP (Universal Plug and Play), creando hasta 155 reglas de redirección de puertos que permiten exponer servicios internos directamente a Internet.
Routers, cámaras e IoT, los principales objetivos
La propagación de Dysphoria se basa principalmente en el uso de credenciales débiles de Telnet y SSH, además de la explotación de vulnerabilidades conocidas en routers, cámaras IP y otros dispositivos IoT.
Entre las vulnerabilidades utilizadas figuran fallos recientes como React2Shell (CVE-2025-55182), así como vulnerabilidades que afectan a dispositivos Totolink y Linksys.
También continúa explotando fallos mucho más antiguos que todavía permanecen sin corregir en numerosos equipos, como los que afectan a dispositivos Huawei y DrayTek.
Esta combinación de vulnerabilidades modernas y heredadas amplía significativamente la superficie de ataque y facilita que la botnet siga creciendo.
Una capacidad de ataque considerable
Durante una semana de monitorización realizada en julio, los investigadores registraron hasta 740.000 comunicaciones diarias procedentes de dispositivos comprometidos, lo que confirma una actividad muy elevada.
Los operadores de Dysphoria aseguran que su infraestructura puede alcanzar una capacidad máxima de 4 Tbps en ataques DDoS, una cifra inferior al récord de 31,4 Tbps alcanzado por la botnet Aisuru/Kimwolf en 2025, pero más que suficiente para provocar interrupciones significativas en servicios y plataformas conectadas a Internet.
¿Cómo reducir el riesgo?
Los investigadores recuerdan que la mejor defensa frente a este tipo de amenazas sigue siendo aplicar buenas prácticas básicas de seguridad.
Mantener el firmware actualizado, sustituir las contraseñas predeterminadas por credenciales robustas, deshabilitar el acceso remoto cuando no sea necesario y revisar la configuración de seguridad de routers y dispositivos IoT son medidas esenciales para evitar que estos equipos pasen a formar parte de redes maliciosas como Dysphoria.
La aparición de esta botnet confirma una tendencia cada vez más evidente: los dispositivos IoT continúan siendo uno de los objetivos preferidos de los ciberdelincuentes debido a su escaso nivel de protección y a la lenta aplicación de actualizaciones de seguridad por parte de muchos usuarios y fabricantes.