Dysphoria تستولي على 200 ألف جهاز: هجمات DDoS ببروتوكول blockchain

مقدمة تحليلية

تمكنت شبكة البوتات الجديدة Dysphoria من اختراق ما يقارب 200,000 جهاز حول العالم، وتستغل هذه الأجهزة حالياً في تنفيذ هجمات حرمان الخدمة الموزعة (DDoS) وعمليات ترحيل البيانات. كشفت أبحاث QiAnXin XLab للأمن السيبراني عن هذا الانتشار، مشيرة إلى أن Dysphoria تطورت من برمجيات ‘jackskid’ و ‘fbot’ الخبيثة عبر دمج آلية سرية للتحكم والسيطرة (C2) تعتمد على تقنية blockchain. لقد رصد الباحثون Dysphoria للمرة الأولى في 25 مارس، وسجلوا تحديثات متكررة منذ الربع الأول لعام 2026، شملت خوارزمية جديدة للحصول على أوامر C2، ودعم سلاسل كتل متعددة، ونطاقات إضافية، وفصلاً وظيفياً بين أنواع الترحيل وDDoS. تكمن الأهمية الجوهرية في أن استخدام نطاقات Ethereum ENS وSolana SNS لاسترجاع معلومات البنية التحتية، مع إخفاء عناوين C2 داخل سلاسل IPv6 وهمية، يعزز من مرونة الشبكة ويجعل تعقبها وتفكيكها أمراً بالغ التعقيد في الوقت الراهن.

التحليل التقني

تعتمد بنية Dysphoria التقنية على طبقات متعددة من الإخفاء والمرونة. الآلية الأساسية للتحكم والسيطرة (C2) تستغل تقنية blockchain، باستخدام نطاقات Ethereum ENS وSolana SNS لاسترجاع معلومات البنية التحتية. يتم إخفاء عناوين C2 الفعلية داخل سلاسل IPv6 وهمية، وتُسترد عبر خوارزمية تحويل بايت مخصصة، ما يزيد من صعوبة الاكتشاف. ترسل الأجهزة المصابة حزم تسجيل ونبضات قلب ثابتة بحجم 78 بايت إلى C2، وتتلقى بدورها أوامر هجوم DDoS التي تحدد المدة، النوع، الأهداف، والعلامات القابلة للتكوين.

آليات الانتشار والوظائف المزدوجة

في أواخر يونيو، لاحظ باحثو XLab ظهور نوع من Dysphoria يركز على تحويل الأجهزة المصابة إلى وكلاء شبكة، متخلياً عن وظيفة DDoS. تستغل هذه البرمجية بروتوكول UPnP (Universal Plug and Play) على الجهاز المخترق لإنشاء 155 قاعدة لإعادة توجيه المنافذ، مما يعرض الخدمات الداخلية لاتصالات الإنترنت الواردة. تنتشر شبكة البوتات من خلال استغلال بيانات اعتماد Telnet وSSH الضعيفة، والثغرات الأمنية المعروفة في أجهزة التوجيه، الكاميرات، وأجهزة إنترنت الأشياء. الثغرات المستغلة تشمل:

• CVE-2025-55182 ("React2Shell")
• CVE-2025-34152
• CVE-2025-28137 (Totolink)
• CVE-2025-9528 (Linksys)
• CVE-2017-17215 (Huawei)
• CVE-2020-8515 (DrayTek)

تمثل هذه خليطاً من نقاط الضعف الحديثة والقديمة، ما يشير إلى استهداف واسع للأجهزة غير المحدثة. خلال فترة مراقبة بين 14 و 20 يوليو، سجل XLab ذروة 740,000 "ping" يومي من المضيفين المصابين، و 239,000 اتصال من عملاء خارجيين، و 1,800 اتصال من الصين. يقدر الباحثون بثقة عدد الأجهزة المصابة حالياً بحوالي 200,000 جهاز. يدعي مشغلو الشبكة، على موقعهم العلني الذي يروج لخدماتهم كـ"اختبار إجهاد"، قدرة DDoS قصوى تبلغ 4 Tbps. هذا الرقم، رغم كونه أقل بكثير من الرقم القياسي الحالي البالغ 31.4 Tbps الذي حققته شبكة Aisuru/Kimwolf في ديسمبر 2025، يظل كافياً لإحداث اضطرابات كبيرة عبر الشبكات المستهدفة.

السياق وتأثير السوق

يمثل ظهور Dysphoria نقطة تحول في مشهد شبكات البوتات، لا سيما مع تطورها من برمجيات ‘jackskid’ و ‘fbot’ الخبيثة المعروفة. الابتكار الجوهري يكمن في دمج آلية C2 القائمة على blockchain، والتي تستغل نطاقات Ethereum ENS وSolana SNS. هذه الخطوة تعيد تعريف مستوى المرونة التشغيلية لشبكات البوتات، حيث أن البنية التحتية القائمة على blockchain تكون أصعب بكثير في التتبع والتفكيك مقارنة بالبنى التقليدية التي تعتمد على خوادم مركزية أو نطاقات يسهل حظرها. هذا التحول يعني أن الجهود الرامية إلى مكافحة هذه الشبكات ستواجه عقبات تقنية جديدة ومكلفة.

على صعيد القوة الهجومية، يدعي مشغلو Dysphoria قدرة DDoS قصوى تبلغ 4 Tbps، وهو رقم كفيل بإحداث أضرار بالغة في المواقع والخدمات المستهدفة. ومع ذلك، تبقى هذه القدرة أقل بشكل ملحوظ من الرقم القياسي البالغ 31.4 Tbps الذي حققته شبكة Aisuru/Kimwolf في ديسمبر 2025. مقارنة بذلك، فإن Dysphoria قد لا تمثل "التهديد الأكبر" من حيث الحجم الخام للهجوم، لكن مرونتها وقدرتها على التهرب من الاكتشاف تجعلها منافساً قوياً ومستداماً. الفارق الجوهري يكمن في البنية الأساسية: Aisuru/Kimwolf ربما تعتمد على حجم هائل من البوتات، بينما Dysphoria تركز على صعوبة التفكيك. هذا يضع عبئاً متزايداً على الشركات ومزودي الخدمات، فبدلاً من التركيز على صد الهجمات الكبيرة، يجب عليهم الآن التعامل مع تهديدات أكثر مراوغة وصعوبة في الاستئصال.

تأثير السوق يمتد ليشمل مصنعي أجهزة إنترنت الأشياء (IoT) وأجهزة التوجيه، حيث تستغل Dysphoria ثغرات قديمة مثل CVE-2017-17215 في أجهزة Huawei وCVE-2020-8515 في أجهزة DrayTek، بالإضافة إلى ثغرات أحدث كـ CVE-2025-55182. هذا يشير إلى فشل مستمر في تطبيق التحديثات الأمنية الأساسية، مما يجعل ملايين الأجهزة عرضة للاستغلال. الجهات التي تخسر هي المنظمات التي تعتمد على توفر خدماتها الرقمية والمستخدمون الذين يتجاهلون تحديث أجهزتهم وتغيير كلمات المرور الافتراضية. مع تحول بعض أنواع Dysphoria إلى وكلاء شبكة عبر إساءة استخدام UPnP لإنشاء 155 قاعدة لإعادة توجيه المنافذ، يصبح المستخدمون الأبرياء جزءاً من بنية تحتية أكبر لترجيل البيانات، مما يعرضهم لمخاطر قانونية وأمنية غير مباشرة.

رؤية Glitch4Techs

إن شبكة البوتات Dysphoria ليست مجرد إضافة أخرى إلى قائمة التهديدات السيبرانية؛ بل تمثل تحولاً استراتيجياً في كيفية بناء وتشغيل هذه الشبكات. إنها ليست مبالغة إعلامية، بل هي دليل على تطور منهجي وذكي من جانب الجهات الخبيثة. الحكم قاطع: هذه الشبكة تشكل تهديداً هيكلياً طويل الأمد للبنية التحتية الرقمية. السبب المباشر لهذا الحكم يكمن في دمج آلية التحكم والسيطرة القائمة على blockchain التي تستغل نطاقات Ethereum ENS وSolana SNS.

هذه البنية لا تمنح Dysphoria مرونة غير مسبوقة فحسب، بل تجعل جهود التتبع والتفكيك التقليدية غير فعالة بشكل متزايد. بينما قد لا تتجاوز قدرة هجماتها الـ 4 Tbps الرقم القياسي لـ Aisuru/Kimwolf البالغ 31.4 Tbps، فإن قدرتها على البقاء والاستمرار في العمل رغم محاولات التفكيك هي ما يميزها. الاعتماد المستمر على استغلال ثغرات قديمة مثل CVE-2017-17215 وCVE-2020-8515، بالإضافة إلى CVE-2025-55182 الأحدث، يؤكد أن المشكلة ليست فقط في الهجمات الجديدة، بل في البنية التحتية المترهلة التي تظل عرضة لها. تجاهل هذه الحقيقة هو تواطؤ مع التهديد.