Duy Linh✔
Writer
Mạng botnet Dysphoria đang trở thành mối đe dọa đáng chú ý đối với Internet vạn vật (IoT). Theo báo cáo đặc biệt mới của Shadowserver, khoảng 296.000 thiết bị đã bị xâm nhập, trong đó có bộ định tuyến, cổng kết nối, camera IP và nhiều hệ thống Linux nhúng dễ bị tấn công.
Chiến dịch biến những thiết bị bảo mật kém thành nền tảng phân tán phục vụ các cuộc tấn công DDoS, hoạt động proxy và chuyển tiếp lưu lượng qua mạng của nạn nhân. Quy mô của Dysphoria đặc biệt đáng chú ý vì nhiều thiết bị mục tiêu thường nằm ngoài các chương trình quản lý thiết bị đầu cuối thông thường.
Bộ định tuyến, đầu ghi DVR, camera và thiết bị cổng mạng dành cho người dùng phổ thông có thể duy trì kết nối Internet trong nhiều năm, sử dụng phần mềm lỗi thời, để lộ dịch vụ Telnet hoặc SSH và vẫn giữ thông tin đăng nhập yếu hoặc mặc định.
Nghiên cứu cho thấy Dysphoria liên quan đến việc khai thác nhiều lỗ hổng đã biết trên bộ định tuyến, cổng kết nối, camera, bộ khuếch đại tín hiệu và các sản phẩm Linux nhúng, bên cạnh việc tận dụng cơ chế xác thực Telnet và SSH yếu.
Bộ dữ liệu mới của Shadowserver ghi nhận khoảng 296.000 thiết bị bị ảnh hưởng, cho thấy phạm vi của chiến dịch lớn hơn đáng kể và tạo ra một khối lượng mục tiêu cần được xử lý rất lớn đối với các nhóm bảo mật.
Shadowserver phân loại mọi sự kiện trong bộ dữ liệu là NGHIÊM TRỌNG, bởi các thiết bị bị nhiễm có thể bị điều khiển từ xa để tham gia các cuộc tấn công quy mô lớn, che giấu cơ sở hạ tầng điều khiển hoặc chuyển tiếp lưu lượng độc hại qua mạng của nạn nhân.
Điểm khác biệt của Dysphoria so với các botnet DDoS IoT thông thường nằm ở kiến trúc có khả năng phục hồi. Phần mềm độc hại sử dụng các hệ thống tên dựa trên blockchain, gồm Ethereum Name Service và Solana Name Service, để phân giải cơ sở hạ tầng điều khiển và kiểm soát.
Khác với tên miền DNS thông thường, tên miền blockchain có thể khiến việc chiếm đoạt hoặc phá vỡ cơ sở hạ tầng trở nên phức tạp hơn, do nhà điều hành có thể thay đổi các bản ghi liên quan mà không phụ thuộc vào quy trình đăng ký và lưu trữ truyền thống.
Theo các nhà nghiên cứu Shadowserver, những kẻ vận hành Dysphoria khai thác điểm yếu trong quá trình vận hành thông qua đoán mật khẩu và các lỗ hổng thực thi mã từ xa đã biết, từ đó âm thầm đăng ký các hệ thống dễ bị tấn công vào mạng botnet.
Các báo cáo ban đầu cho thấy số lượng thiết bị Dysphoria hoạt động đã vượt 200.000, trong khi các nhà nghiên cứu từng ghi nhận mức đỉnh 239.000 bot trong một ngày. Những thiết bị bị nhiễm cũng được sử dụng làm trung gian, giúp tách bộ điều khiển thực sự khỏi các bot và khiến việc xác định cơ sở hạ tầng phía sau thông qua lưu lượng từ phía nạn nhân trở nên khó khăn hơn.
Biến thể này quét mạng cục bộ để tìm các thiết bị cổng hỗ trợ Universal Plug and Play, sau đó tìm cách tạo quyền truy cập thông qua cơ chế ánh xạ cổng của bộ định tuyến.
Các nhà nghiên cứu quan sát thấy phần mềm độc hại mở cổng 155, cho phép một máy khách bên ngoài truy cập máy chủ bị nhiễm và tiếp cận một đích khác.
Cách hoạt động này biến thiết bị cá nhân và thiết bị của doanh nghiệp nhỏ bị xâm nhập thành một lớp proxy theo yêu cầu. Chúng có thể được sử dụng để che giấu hoạt động độc hại, vượt qua các hạn chế dựa trên địa chỉ IP hoặc che giấu máy chủ C2 phía sau những địa chỉ thuộc về nạn nhân.
Đối với các chuyên gia bảo mật mạng, báo cáo đặc biệt của Shadowserver mang tính chất thông báo hồi cứu và có giá trị khác với báo cáo hằng ngày trong vòng 24 giờ.
Dữ liệu được phân phối với dấu thời gian ngày 12/8/2026, trong khi trường <span>last_seen_time</span> cung cấp thời điểm quan sát gần nhất của từng địa chỉ IP bị ảnh hưởng.
Bộ dữ liệu bao gồm địa chỉ IP, cổng, giao thức, ASN, thông tin địa lý, nhà cung cấp thiết bị, model, phiên bản phần mềm, thời điểm phát hiện lần đầu và lần cuối, thời gian tiếp xúc, tác nhân người dùng và thẻ lây nhiễm.
Những thông tin này có thể hỗ trợ các nhà cung cấp dịch vụ Internet (ISP), nhóm ứng phó sự cố an ninh mạng quốc gia (CSIRT), doanh nghiệp và nhà cung cấp dịch vụ quản lý trong việc ưu tiên xử lý, đồng thời xác định những mô hình rủi ro lặp lại.
Phản ứng tức thời cần bao gồm cách ly các thiết bị nghi ngờ, thay đổi toàn bộ thông tin đăng nhập quản trị, Telnet và SSH, vô hiệu hóa quản trị từ xa và UPnP không cần thiết, cập nhật phần mềm từ nhà cung cấp và thay thế những thiết bị đã hết vòng đời.
Các nhóm bảo mật cũng nên kiểm tra quy tắc chuyển tiếp cổng trên bộ định tuyến và điều tra những kết nối đi ra hoặc hoạt động chuyển tiếp lưu lượng không rõ nguồn gốc.
Chương trình báo cáo của Shadowserver phân phối dữ liệu mạng cho những người đăng ký đã được kiểm duyệt. Các tổ chức bỏ lỡ cảnh báo Dysphoria có thể yêu cầu những Báo cáo Đặc biệt gần đây sau khi đăng ký mạng lưới của Shadowserver.
Dysphoria cho thấy việc xâm nhập IoT không còn chỉ tập trung vào khả năng thực hiện các cuộc tấn công DDoS bằng phương pháp vét cạn. Việc phát triển thành một hệ sinh thái chuyển tiếp phi tập trung và proxy dân cư khiến mỗi thiết bị biên chưa được vá lỗi đều có thể trở thành tài sản cho kẻ tấn công, đồng thời tạo ra nguy cơ cho chính mạng lưới đang sở hữu thiết bị đó.
Chiến dịch biến những thiết bị bảo mật kém thành nền tảng phân tán phục vụ các cuộc tấn công DDoS, hoạt động proxy và chuyển tiếp lưu lượng qua mạng của nạn nhân. Quy mô của Dysphoria đặc biệt đáng chú ý vì nhiều thiết bị mục tiêu thường nằm ngoài các chương trình quản lý thiết bị đầu cuối thông thường.
Bộ định tuyến, đầu ghi DVR, camera và thiết bị cổng mạng dành cho người dùng phổ thông có thể duy trì kết nối Internet trong nhiều năm, sử dụng phần mềm lỗi thời, để lộ dịch vụ Telnet hoặc SSH và vẫn giữ thông tin đăng nhập yếu hoặc mặc định.
Nghiên cứu cho thấy Dysphoria liên quan đến việc khai thác nhiều lỗ hổng đã biết trên bộ định tuyến, cổng kết nối, camera, bộ khuếch đại tín hiệu và các sản phẩm Linux nhúng, bên cạnh việc tận dụng cơ chế xác thực Telnet và SSH yếu.
Bộ dữ liệu mới của Shadowserver ghi nhận khoảng 296.000 thiết bị bị ảnh hưởng, cho thấy phạm vi của chiến dịch lớn hơn đáng kể và tạo ra một khối lượng mục tiêu cần được xử lý rất lớn đối với các nhóm bảo mật.
Shadowserver phân loại mọi sự kiện trong bộ dữ liệu là NGHIÊM TRỌNG, bởi các thiết bị bị nhiễm có thể bị điều khiển từ xa để tham gia các cuộc tấn công quy mô lớn, che giấu cơ sở hạ tầng điều khiển hoặc chuyển tiếp lưu lượng độc hại qua mạng của nạn nhân.
Điểm khác biệt của Dysphoria so với các botnet DDoS IoT thông thường nằm ở kiến trúc có khả năng phục hồi. Phần mềm độc hại sử dụng các hệ thống tên dựa trên blockchain, gồm Ethereum Name Service và Solana Name Service, để phân giải cơ sở hạ tầng điều khiển và kiểm soát.
Khác với tên miền DNS thông thường, tên miền blockchain có thể khiến việc chiếm đoạt hoặc phá vỡ cơ sở hạ tầng trở nên phức tạp hơn, do nhà điều hành có thể thay đổi các bản ghi liên quan mà không phụ thuộc vào quy trình đăng ký và lưu trữ truyền thống.
Theo các nhà nghiên cứu Shadowserver, những kẻ vận hành Dysphoria khai thác điểm yếu trong quá trình vận hành thông qua đoán mật khẩu và các lỗ hổng thực thi mã từ xa đã biết, từ đó âm thầm đăng ký các hệ thống dễ bị tấn công vào mạng botnet.
Các báo cáo ban đầu cho thấy số lượng thiết bị Dysphoria hoạt động đã vượt 200.000, trong khi các nhà nghiên cứu từng ghi nhận mức đỉnh 239.000 bot trong một ngày. Những thiết bị bị nhiễm cũng được sử dụng làm trung gian, giúp tách bộ điều khiển thực sự khỏi các bot và khiến việc xác định cơ sở hạ tầng phía sau thông qua lưu lượng từ phía nạn nhân trở nên khó khăn hơn.
Dysphoria chuyển từ DDoS sang mạng proxy
Mức độ nguy hiểm của Dysphoria còn tăng lên với chức năng máy chủ chuyển tiếp mới. Một biến thể được thu giữ vào cuối tháng 6 được cho là đã loại bỏ mã tấn công DDoS và chỉ hoạt động như một nút proxy.Biến thể này quét mạng cục bộ để tìm các thiết bị cổng hỗ trợ Universal Plug and Play, sau đó tìm cách tạo quyền truy cập thông qua cơ chế ánh xạ cổng của bộ định tuyến.
Các nhà nghiên cứu quan sát thấy phần mềm độc hại mở cổng 155, cho phép một máy khách bên ngoài truy cập máy chủ bị nhiễm và tiếp cận một đích khác.
Cách hoạt động này biến thiết bị cá nhân và thiết bị của doanh nghiệp nhỏ bị xâm nhập thành một lớp proxy theo yêu cầu. Chúng có thể được sử dụng để che giấu hoạt động độc hại, vượt qua các hạn chế dựa trên địa chỉ IP hoặc che giấu máy chủ C2 phía sau những địa chỉ thuộc về nạn nhân.
Đối với các chuyên gia bảo mật mạng, báo cáo đặc biệt của Shadowserver mang tính chất thông báo hồi cứu và có giá trị khác với báo cáo hằng ngày trong vòng 24 giờ.
Dữ liệu được phân phối với dấu thời gian ngày 12/8/2026, trong khi trường <span>last_seen_time</span> cung cấp thời điểm quan sát gần nhất của từng địa chỉ IP bị ảnh hưởng.
Bộ dữ liệu bao gồm địa chỉ IP, cổng, giao thức, ASN, thông tin địa lý, nhà cung cấp thiết bị, model, phiên bản phần mềm, thời điểm phát hiện lần đầu và lần cuối, thời gian tiếp xúc, tác nhân người dùng và thẻ lây nhiễm.
Những thông tin này có thể hỗ trợ các nhà cung cấp dịch vụ Internet (ISP), nhóm ứng phó sự cố an ninh mạng quốc gia (CSIRT), doanh nghiệp và nhà cung cấp dịch vụ quản lý trong việc ưu tiên xử lý, đồng thời xác định những mô hình rủi ro lặp lại.
Phản ứng tức thời cần bao gồm cách ly các thiết bị nghi ngờ, thay đổi toàn bộ thông tin đăng nhập quản trị, Telnet và SSH, vô hiệu hóa quản trị từ xa và UPnP không cần thiết, cập nhật phần mềm từ nhà cung cấp và thay thế những thiết bị đã hết vòng đời.
Các nhóm bảo mật cũng nên kiểm tra quy tắc chuyển tiếp cổng trên bộ định tuyến và điều tra những kết nối đi ra hoặc hoạt động chuyển tiếp lưu lượng không rõ nguồn gốc.
Chương trình báo cáo của Shadowserver phân phối dữ liệu mạng cho những người đăng ký đã được kiểm duyệt. Các tổ chức bỏ lỡ cảnh báo Dysphoria có thể yêu cầu những Báo cáo Đặc biệt gần đây sau khi đăng ký mạng lưới của Shadowserver.
Dysphoria cho thấy việc xâm nhập IoT không còn chỉ tập trung vào khả năng thực hiện các cuộc tấn công DDoS bằng phương pháp vét cạn. Việc phát triển thành một hệ sinh thái chuyển tiếp phi tập trung và proxy dân cư khiến mỗi thiết bị biên chưa được vá lỗi đều có thể trở thành tài sản cho kẻ tấn công, đồng thời tạo ra nguy cơ cho chính mạng lưới đang sở hữu thiết bị đó.
Được phối hợp thực hiện bởi các chuyên gia của Bkav,
cộng đồng An ninh mạng Việt Nam WhiteHat
và cộng đồng Khoa học công nghệ VnReview
