Die von XLab am 25. Juli veröffentlichte Analyse zeichnet die Entwicklung von Dysphoria aus der JackSkid-Linie nach. JackSkid gehörte zu vier IoT-Botnetzen, gegen die US-amerikanische, deutsche und kanadische Strafverfolger am 19. März koordiniert vorgingen. Gerichtsdokumente schrieben allein JackSkid mehr als 90.000 DDoS-Befehle zu.

Nur wenige Tage später dokumentierten Nokia Deepfield und das Threat-Labor von Comcast, dass der Betreiber für die Kommando- und Kontrollinfrastruktur auf eine Domain im Ethereum Name Service auswich: m3rnbvs5d[.]eth. XLab setzt seine Dysphoria-Zeitleiste mit einer am 25. März abgefangenen JackSkid-Probe an, also sechs Tage nach der Störung, die C2 über genau diese Domain auflöst.

Nach Angaben von XLab kodiert der Eintrag burrberry[.]eth die IPv4-Adressen von Verteilknoten, während 24carnforth2merseyside[.]sol weitere Infrastrukturinformationen liefert. Die DDoS-Schadsoftware fragt per HTTP bei einem Verteilknoten eine aktuelle Serverliste ab. Die dort genannten Endpunkte sind infizierte Maschinen, die den Datenverkehr an die eigentlichen Steuerungsserver weiterleiten. Damit bleiben diese Server eine Stufe von den Adressen entfernt, die für die Bots sichtbar sind.

XLab beschreibt eine schnelle Folge neuer Varianten: Ende April kamen eine angepasste RC4-Verschlüsselung für Zeichenketten und die ENS-Auflösung hinzu, Anfang Mai dann die Auflösung über den Solana Name Service. Am 25. Juni erschien eine reine Relay-Variante, wenige Tage später ergänzt um Portweiterleitung per UPnP, um NAT-Gateways zu durchqueren.

Diese Relay-Variante enthält keine DDoS-Module mehr. Stattdessen nutzt sie UPnP, um Ports auf dem lokalen Gateway zu öffnen, und Linux epoll, um Verbindungen zwischen einem externen Zugang und einem entfernten C2-Dienst weiterzuleiten. XLab hatte bereits Ende vergangenen Jahres beim verwandten Kimwolf-Botnetz ENS-basiertes C2 dokumentiert. Dysphoria kombiniere dieses Auflösungsmodell nun mit einem Relay-Geflecht aus den eigenen Opfersystemen.

Dass dadurch klassische Beschlagnahmungen von Servern schwieriger werden, heißt laut Quelle nicht, dass die Infrastruktur aus der Kette verschwindet. Das Botnetz bleibt weiterhin auf Blockchain-Einträge, erreichbare Verteilknoten und kompromittierte Relays angewiesen. Japans NICT dokumentierte im Mai unabhängig denselben Wechsel von JackSkid zu ENS- und SNS-basierten Verfahren und fand wie Nokia und Comcast Code-Überschneidungen mit mehreren anderen Botnetz-Familien. Diese Überlappungen deuteten auf gemeinsam genutzte Werkzeuge hin, seien aber kein Beleg für einen einzelnen Betreiber. Keines der beteiligten Forschungsteams benennt einen Akteur.

Zur Verbreitung nennen XLab und CNCERT schwache Telnet- und SSH-Passwörter sowie bekannte Schwachstellen mit Remotecodeausführung in Routern, Gateways und Kameras. Ein in beiden veröffentlichten Listen genanntes Beispiel ist CVE-2025-9528, eine im August 2025 veröffentlichte Befehlseinschleusung im Linksys E1700, für die ein öffentlicher Exploit vorliegt. Der Hersteller reagierte laut Quelltext nicht auf die ursprüngliche Meldung. Der CVSS-Vektor in der NVD bewertet die Schwachstelle als nur mit hohen Rechten ausnutzbar; wie sie in die Verbreitungskette des Botnetzes passt, erklären die Veröffentlichungen nicht.

Ein Vergleich von The Hacker News ergab zudem, dass sich die Schwachstellenlisten im XLab-Beitrag und in einem gespiegelten CNCERT-Hinweis unterscheiden, obwohl beide dieselbe gemeinsame Forschung darstellen. Einig sind sich beide Quellen darin, dass schwache Telnet- und SSH-Zugangsdaten der konstanteste Angriffsweg bleiben. XLab schreibt Dysphoria fast tägliche Angriffe auf Ziele bei Internetdienstleistern und im Gaming-Bereich zu, nennt aber weder Opfer noch gemessene Spitzen. Auch die beworbenen Angriffe von bis zu rund 4 Tbit/s für Dutzende bis Hunderte Dollar sind lediglich eine Betreiberbehauptung. Eine unabhängige Quelle hat weder einen Dysphoria-Spitzenwert gemessen noch den gemeldeten Umfang von 200.000 Geräten bestätigt.