Dysphoria : 200 000 appareils IoT pilotés via la blockchain

Une infrastructure de commande et contrôle inédite sur la blockchain

Les chercheurs en sécurité de XLAB ont publié le 28 juillet 2026 une analyse détaillée d'un nouveau botnet baptisé Dysphoria, dont la sophistication technique marque une rupture significative avec les botnets IoT classiques de la famille Mirai. Repéré pour la première fois le 25 mars 2026, Dysphoria a progressé en quatre mois pour atteindre plus de 200 000 appareils compromis à l'échelle mondiale, tout en affinant continuellement ses mécanismes d'évasion et son architecture distribuée.

La principale innovation de Dysphoria réside dans son approche de dissimulation de l'infrastructure de commande et contrôle (C2). Contrairement aux botnets traditionnels qui s'appuient sur des adresses IP ou des domaines classiques — facilement bloqués par les registrars ou saisis par les forces de l'ordre — Dysphoria exploite les systèmes de noms de domaine décentralisés d'Ethereum (ENS) et de Solana (SNS). Ces blockchains permettent d'enregistrer des domaines de manière pseudonyme, sans aucun organisme central pouvant procéder à une révocation. L'adresse IP du serveur C2 est en outre dissimulée dans des chaînes IPv6 factices, récupérées et décodées via un algorithme de transformation d'octets propriétaire développé par les opérateurs du botnet.

Les premiers échantillons analysés par XLAB en mars 2026 révèlent un botnet encore en phase de maturation, avec des fonctions DDoS classiques orientées amplification de trafic. Dès le mois d'avril, les opérateurs ont introduit une routine de chiffrement RC4 personnalisée pour l'obfuscation des chaînes de caractères dans le code malveillant, rendant l'analyse statique plus complexe. Le botnet exploite plus de 90 variantes de fonctions cryptographiques selon les campagnes observées, un niveau de diversité inhabituel qui complique la corrélation entre les échantillons et la génération de signatures de détection fiables.

La propagation du botnet repose sur deux vecteurs principaux. Le premier est l'exploitation de credentials Telnet et SSH faibles ou par défaut sur les appareils IoT, une méthode éprouvée mais toujours très efficace sur un parc mondial d'objets connectés dont la mise à jour reste marginale. Le second vecteur exploite des vulnérabilités connues : les CVE-2025-55182, CVE-2025-34152, CVE-2025-28137 et CVE-2025-9528 pour les failles récentes, mais aussi des vulnérabilités bien plus anciennes comme CVE-2017-17215 affectant les routeurs Huawei HG532 et CVE-2020-8515 ciblant les équipements DrayTek. Cela illustre que des millions d'appareils demeurent exposés à des vulnérabilités vieilles de plusieurs années, faute de mise à jour ou d'outillage de patch management adapté aux environnements IoT.

Un tournant architectural majeur a été observé fin juin 2026 : les opérateurs ont introduit des variantes dites de relayisation. Ces nouvelles versions ne conservent plus aucune capacité DDoS et fonctionnent exclusivement comme noeuds relais ou proxy. Ces appareils compromis exploitent le protocole UPnP pour ouvrir automatiquement jusqu'à 155 ports sur les routeurs infectés, permettant ainsi des connexions entrantes malgré les restrictions NAT habituelles. Cette évolution transforme le botnet en une infrastructure de transit anonymisée, potentiellement louable à d'autres acteurs malveillants pour masquer l'origine de leurs opérations — une tendance déjà observée dans d'autres botnets comme Faceless ou Anyproxy.

Les captures d'écran du panneau de contrôle obtenues par les chercheurs de XLAB confirment que les opérateurs maintenaient un réseau d'environ 200 000 bots actifs et revendiquaient une capacité DDoS pouvant atteindre 4 Térabits par seconde. Pour contexte, les plus importantes attaques DDoS enregistrées à ce jour ont dépassé 5 Tbps : Dysphoria se positionne donc comme un acteur potentiellement capable de saturer des infrastructures critiques ou des opérateurs majeurs d'Internet. La répartition géographique des appareils infectés couvre de nombreux pays, avec une concentration notable en Asie, en Europe de l'Est et en Amérique latine, régions où le taux de mise à jour des firmwares IoT est particulièrement faible.

L'analyse de XLAB établit par ailleurs un lien avec les perturbations du botnet JackSkid, un réseau concurrent démantelé plus tôt en 2026. Une partie des ressources et de l'expérience opérationnelle semble avoir migré vers Dysphoria après cette opération, accélérant sa montée en puissance. Selon les chercheurs, les opérateurs semblent parfaitement conscients des méthodes de takedown employées par les autorités et les CERT, et ont conçu Dysphoria précisément pour les contourner en s'appuyant sur une infrastructure décentralisée et résiliente par nature.

À date de publication, aucun groupe de menace spécifique n'a été formellement attribué à Dysphoria. L'utilisation de la blockchain pour le C2 représente une évolution que les analystes anticipaient depuis plusieurs années, mais dont la mise en oeuvre à cette échelle dans un botnet IoT constitue une première documentée. Les forces de l'ordre et les fournisseurs de cybersécurité travaillent à identifier des mécanismes alternatifs de perturbation, notamment via la surveillance des transactions blockchain associées aux domaines ENS et SNS identifiés dans les échantillons malveillants.

Pourquoi ce botnet redéfinit les règles du jeu pour la défense IoT

L'émergence de Dysphoria s'inscrit dans une tendance plus large d'industrialisation et de sophistication croissante des botnets IoT. Depuis Mirai en 2016, dont le code source a été rendu public et a engendré des centaines de variants, les opérateurs de botnets ont progressivement affiné leurs techniques. Mēris, Meowbot, JackSkid, et maintenant Dysphoria : chaque génération apporte une nouvelle couche de résistance aux contre-mesures défensives. L'intégration de la blockchain comme infrastructure C2 représente le saut qualitatif le plus significatif de ces dernières années, car elle supprime le point de défaillance unique que constituaient les serveurs C2 classiques.

Cette évolution pose un défi fondamental aux opérations de démantèlement menées jusqu'ici par les autorités. Les mécanismes classiques — saisie de domaines, suspension d'hébergeurs, ordonnances judiciaires contre des registrars — deviennent en grande partie inopérants face à un C2 ancré dans une blockchain sans autorité centrale. Bloquer Ethereum ou Solana pour neutraliser Dysphoria reviendrait à perturber des infrastructures blockchain légitimes utilisées par des millions d'utilisateurs dans le monde, une option inenvisageable. Les équipes de réponse aux incidents devront développer de nouvelles approches : surveillance des transactions on-chain, identification des wallets opérateurs, ou perturbation ciblée des noeuds de résolution blockchain spécifiques au botnet.

Pour les entreprises et les opérateurs d'infrastructures, la menace DDoS de 4 Tbps n'est pas théorique. Les fournisseurs de services Internet, les plateformes en ligne, les services financiers et les opérateurs d'infrastructures critiques sont les cibles traditionnelles des botnets DDoS de cette envergure. La protection nécessite des solutions de mitigation anycast de niveau opérateur (CDN avec scrubbing centers), dont la mise en place dépasse les capacités de la grande majorité des organisations. Par ailleurs, l'aspect relais proxy du botnet ouvre la voie à son utilisation pour dissimuler d'autres types d'attaques : exfiltration de données, accès initial sur des cibles distantes, ou contournement des contrôles géographiques de sécurité.

La découverte de Dysphoria rappelle également l'urgence d'assainir le parc mondial d'appareils IoT. Les CVE exploitées incluent des vulnérabilités datant de 2017 et 2020, soit des failles vieilles de six à neuf ans. Malgré des années de sensibilisation, des millions d'appareils restent exposés, faute de politique de mise à jour, de prise en charge par les fabricants, ou simplement parce que les propriétaires ignorent le risque. Le Cyber Resilience Act européen impose désormais aux fabricants des exigences de mise à jour et de divulgation des vulnérabilités, mais son impact sur le parc existant restera limité pendant encore plusieurs années.

Ce qu'il faut retenir

• Dysphoria compromet 200 000 appareils IoT via Telnet/SSH et des CVE non corrigées datant parfois de 2017, avec une capacité DDoS potentielle de 4 Tbps.
• Son infrastructure C2 sur blockchain Ethereum/Solana le rend quasi insaisissable par les méthodes classiques de démantèlement basées sur la saisie de domaines.
• Changez immédiatement les identifiants par défaut de tous vos appareils IoT, appliquez les firmwares à jour, et segmentez le réseau IoT du reste de votre infrastructure sur un VLAN dédié.