QiAnXin XLab entdeckte Dysphoria nach eigenen Angaben erstmals am 25. März. Seitdem identifizierten die Forscher mehrere Iterationen der Malware, die wiederholt technisch überarbeitet wurden. In einem Bericht schreibt XLab, man verfolge seit dem ersten Quartal 2026 kontinuierlich eine aufkommende Botnetz-Familie namens Dysphoria, deren Bot-Anzahl 200.000 übersteige. Die Familie habe in nur wenigen Monaten häufige Varianten-Updates und technische Iterationen durchlaufen und dabei eine „extrem starke Widerstandsfähigkeit“ gezeigt.
Technisch setzt Dysphoria auf eine ungewöhnliche Methode zur Steuerung seiner Infrastruktur. Für die Auflösung der C2-Informationen greift das Botnetz auf Ethereum ENS und Solana SNS zurück. Die C2-Adressen selbst verbergen die Betreiber laut XLab in falschen IPv6-Strings, aus denen sie mit einem benutzerdefinierten Byte-Transformationsalgorithmus wiederhergestellt werden. Nach Einschätzung der Forscher macht dieser Blockchain-Ansatz die gesamte Infrastruktur schwerer nachzuverfolgen und zu demontieren.
Die infizierten Clients senden der Analyse von XLab zufolge ein festes 78-Byte-Paket für Anmeldung und Heartbeat an den C2-Server. Von dort erhalten sie DDoS-Befehle, die unter anderem Dauer, Angriffstyp, Ziele und konfigurierbare Flags enthalten. In einer Ende Juni beobachteten Variante verlagerte sich der Schwerpunkt jedoch: Diese Fassung wandelte kompromittierte Geräte ausschließlich in Netzwerk-Proxys um und verzichtete vollständig auf die DDoS-Funktion.
Für diese Proxy-Funktion missbraucht die Malware UPnP auf dem kompromittierten Gerät, um 155 Port-Forwarding-Regeln anzulegen. Dadurch werden interne Dienste für eingehende Verbindungen aus dem Internet freigegeben. XLab zufolge verbreitet sich Dysphoria über schwache Telnet- und SSH-Zugangsdaten sowie über bekannte Schwachstellen in Routern, Kameras und diversen IoT-Geräten.
Zu den neueren ausgenutzten Lücken zählen laut Bericht CVE-2025-55182 („React2Shell“), CVE-2025-34152, CVE-2025-28137 bei Totolink und CVE-2025-9528 bei Linksys. Daneben greift Dysphoria auch ältere Schwachstellen an, die in vielen Geräten weiterhin vorhanden sind, darunter CVE-2017-17215 bei Huawei und CVE-2020-8515 bei DrayTek.
Im Zeitraum vom 14. bis 20. Juli beobachtete XLab einen Spitzenwert von 740.000 täglichen Pings infizierter Hosts. Hinzu kamen 239.000 Verbindungen von ausländischen Clients und 1.800 aus China. Auf Basis dieser Daten schätzen die Forscher die aktuelle Zahl der infizierten Geräte mit hoher Sicherheit auf rund 200.000.
Zur möglichen Angriffskapazität verweisen die Forscher auf die Eigenwerbung der Betreiber. Auf ihrer frei erreichbaren Website geben diese eine maximale DDoS-Leistung von 4 Tbit/s an und bewerben den Dienst als legitimen Stresstest. XLab stellt dem den Rekordwert von 31,4 Tbit/s gegenüber, den das Botnetz Aisuru/Kimwolf im Dezember 2025 erreicht habe.