بوتنت Dysphoria يرفع مستوى التهديد في إنترنت الأشياء بعد تبنيه البلوكشين وخوادم ترحيل من الأجهزة المصابة، ما يصعّب تعطيله ويزيد خطر هجمات DDoS.
ما هو بوتنت Dysphoria ولماذا عاد للواجهة؟
ظهر اسم Dysphoria بقوة بعد رصد نسخة مطورة من سلالة مرتبطة ببنية JackSkid، وهي شبكة خبيثة استهدفت أجهزة إنترنت الأشياء الضعيفة. الجديد هنا ليس فقط استمرار النشاط، بل تغيير طريقة التحكم والسيطرة لتصبح أكثر مرونة بعد الضربات الأمنية التي طالت البنية السابقة في 19 مارس.
وبحسب المعطيات المتداولة، انتقل المشغلون سريعاً إلى استخدام خدمات أسماء قائمة على البلوكشين للوصول إلى خوادم القيادة والتحكم. هذا التحول يمنحهم طبقة إضافية من الإخفاء، لأن الاعتماد لم يعد على نطاقات تقليدية يسهل مصادرتها أو تعطيلها بالأساليب المعتادة.
كيف يستخدم بوتنت Dysphoria البلوكشين في C2؟
اللافت أن البوتنت لم يكتفِ بنطاق واحد، بل استخدم سجلات موزعة على أكثر من خدمة أسماء لتمرير عناوين البنية التحتية. بعض السجلات كانت توجّه البرمجية إلى عقد توزيع، ثم تتولى هذه العقد إرسال قائمة خوادم محدثة إلى الأجهزة المصابة عبر HTTP.
أبرز ما تغيّر في البنية الجديدة
- استخدام نطاقات لامركزية على البلوكشين بدل النطاقات التقليدية.
- إخفاء خوادم التحكم الحقيقية خلف أجهزة مصابة تعمل كوسطاء.
- تحديث قوائم الخوادم ديناميكياً لتقليل فرص التعطيل.
- إضافة تشفير مخصص للسلاسل النصية لرفع صعوبة التحليل.
وفقاً لقراءة تيكبامين، هذه البنية تعني أن المهاجمين لم يعودوا يعتمدون على نقطة مركزية واحدة. ونتيجة لذلك، يصبح تتبع شبكة بوتنت Dysphoria أو إسقاطها بالكامل أكثر تعقيداً بالنسبة لفرق الدفاع.
كم يبلغ حجم التهديد على أجهزة إنترنت الأشياء؟
التقديرات المنشورة تضع عدد الأجهزة المصابة عند أكثر من 200 ألف جهاز، مع تسجيل 4,401 جهاز نشط داخل الصين بين 14 و20 يوليو، وذروة يومية خارجية وصلت إلى 239 ألف بوت. ومع ذلك، لا توجد منهجية منشورة للتكرار أو إزالة العد المزدوج، لذلك يجب التعامل مع هذه الأرقام كمؤشر على الحجم لا كإحصاء نهائي.
- الفئة المستهدفة: أجهزة إنترنت الأشياء المكشوفة على الإنترنت.
- نوع الخطر: هجمات حجب الخدمة DDoS وتمرير الاتصالات الخبيثة.
- سبب الانتشار: كلمات مرور افتراضية وثغرات غير مرقعة.
- عامل التصعيد: استغلال UPnP لعبور بوابات NAT.
هذا يفسر لماذا تستمر مثل هذه الشبكات في التوسع، خصوصاً عندما تبقى الكاميرات، الموجّهات، وأجهزة التحكم المنزلية دون تحديثات أمنية لفترات طويلة.
كيف تطور Dysphoria بعد إسقاط JackSkid؟
التسلسل الزمني يشير إلى تسارع واضح في التطوير. فبحلول نهاية أبريل، ظهرت عينات تتضمن تشفير RC4 مخصصاً مع الاعتماد على ENS، ثم لحقت بها آليات مرتبطة بخدمات أسماء أخرى في أوائل مايو، قبل ظهور نسخة مخصصة للترحيل فقط في 25 يونيو.
ماذا تفعل نسخة Relay-only؟
هذه النسخة لا تركّز على تنفيذ هجمات DDoS مباشرة، بل تعمل كجسر اتصالات بين الخارج وخدمة C2 البعيدة. كما تستخدم Linux epoll لنقل الحركة الشبكية بكفاءة، إلى جانب UPnP لفتح المنافذ تلقائياً على الموجّه المحلي.
بمعنى آخر، الأجهزة المصابة تتحول إلى شبكة وسيطة تخفي المشغل الحقيقي. وهذه خطوة تجعل الاستجابة الأمنية أصعب، لأن كل جهاز مخترق قد يصبح جزءاً من سلسلة تمرير الاتصالات.
كيف تحمي أجهزتك من بوتنت Dysphoria؟
- تحديث برمجيات أجهزة إنترنت الأشياء فوراً.
- استبدال الأجهزة التي توقفت تحديثاتها الأمنية.
- تغيير كلمات المرور الافتراضية والضعيفة.
- إيقاف الإدارة عن بُعد وUPnP عند عدم الحاجة.
- عزل الأجهزة الذكية عن الشبكة الرئيسية قدر الإمكان.
الخلاصة أن بوتنت Dysphoria يمثل تطوراً مقلقاً في عالم برمجيات إنترنت الأشياء الخبيثة، لأنه يجمع بين البلوكشين والاعتماد على الضحايا أنفسهم كعُقد ترحيل. ولهذا ترى تيكبامين أن الوقاية الأساسية تبدأ من تحديث الأجهزة المنزلية الصغيرة قبل أن تتحول إلى جزء من بنية هجوم عالمية.
