في عالم الأمن السيبراني، يعتبر بوتنت ديسفوريا أحد أبرز التهديدات التي ظهرت مؤخرًا، خاصة بعد تعطيل بنية جاك سكيد التحتية. في هذا المقال، نستعرض كيف اعتمدت ديسفوريا خدمات البلوكتشين لتعزيز قدرتها على البقاء.
إضافة شبكة البلوكتشين إلى بوتنت ديسفوريا بعد تعطيل جاك سكيد
تتبع ديسفوريا، وهي سلسلة من بوتنت إنترنت الأشياء (IoT)، من قبل CNCERT وXLab، وقد اعتمدت خدمات الأسماء المعتمدة على البلوكتشين وعمليات الترحيل للأجهزة المصابة بعد عملية تنفيذ القانون في مارس ضد بنية جاك سكيد التحتية. يقول الباحثون إن هذا التصميم يجعل من الصعب تعطيل البوتنت.
إحصائيات البوتنت
تقدر CNCERT، الفريق الوطني للاستجابة للطوارئ الحاسوبية في الصين، وXLab، مختبر تهديدات شركة Qi’anxin الصينية، عدد البوتات بأكثر من 200,000 بوت. سجلت بياناتهم 4,401 جهاز نشط مؤكد داخل الصين بين 14 و20 يوليو وذروة يومية واحدة بلغت 239,000 بوت في الخارج.
لم يتم إعادة إنتاج أي من هذه الأعداد بشكل مستقل. لم ينشر الباحثون أي منهجية للعد أو إزالة التكرار، لذا يجب عدم قراءة الأرقام كإحصاء دقيق للأجهزة.
إجراءات الدفاع
يجب على المدافعين تصحيح الأجهزة المعرضة للإنترنت، واستبدال الأجهزة التي لم تعد قابلة للتحديث، وإزالة بيانات الاعتماد الافتراضية والضعيفة، وتعطيل الإدارة عن بُعد وUPnP حيثما لا تكون مطلوبة.
تاريخ ديسفوريا
تعود أصول ديسفوريا إلى جاك سكيد، أحد أربعة بوتنتات IoT المستهدفة في عمليات تنسيق تنفيذ القانون الأمريكية والألمانية والكندية في 19 مارس. وثقت الوثائق القضائية أكثر من 90,000 أمر DDoS لجاك سكيد وحده.
خلال أيام، وثقت مختبرات تهديدات Nokia Deepfield وComcast عودة المشغل إلى نطاق خدمة أسماء إيثيريوم (ENS) m3rnbvs5d[.]eth للتحكم في القيادة (C2). يبدأ جدول زمني ديسفوريا الخاص بـ XLab بعينة جاك سكيد التي تم التقاطها في 25 مارس، بعد ستة أيام من التعطيل، والتي تحل C2 من خلال نفس النطاق.
البنية التحتية للبوتنت
وجد XLab أن سجل burrberry[.]eth يشفر عناوين IPv4 لنقاط التوزيع، بينما يوفر 24carnforth2merseyside[.]sol سجلات بنية تحتية أخرى. يطلب نموذج DDoS من عقدة التوزيع عبر HTTP قائمة خوادم حالية، والنقاط المذكورة هي أجهزة مصابة تعيد توجيه الحركة إلى المتحكمين الحقيقيين. يحافظ التصميم على بعد هؤلاء المتحكمين عن العناوين المعرضة للبوتات.
تتبع تحليل XLab، الذي نُشر في 25 يوليو، سلسلة سريعة من التحديثات: تشفير سلسلة RC4 مخصص وحل ENS في نهاية أبريل، تلاها حل خدمة أسماء سولانا (SNS) في أوائل مايو. ظهر نموذج يعتمد فقط على الترحيل في 25 يونيو، مع إضافة رسم خرائط المنفذ المعتمد على UPnP بعد أيام لتجاوز بوابات NAT.
التحديات في تعطيل البوتنت
يؤدي النموذج المعتمد على الترحيل إلى إزالة وحدات DDoS ويستخدم بدلاً من ذلك UPnP لرسم خرائط المنافذ على البوابة المحلية وLinux epoll لنقل الحركة بين اتصال خارجي وخدمة C2 عن بُعد. وثق XLab بوتنت كيم وولف ذات الصلة باستخدام C2 المعتمد على ENS في العام الماضي. تربط ديسفوريا نفس نموذج الحل مع شبكة ترحيل مبنية من ضحاياها.
تعقد هذه التحولات عملية الاستيلاء التقليدية على الخوادم، لكنها لا تزيل البنية التحتية من السلسلة: لا يزال يعتمد البوتنت على سجلات البلوكتشين، ونقاط التوزيع القابلة للوصول، والترحيلات المخترقة.
انتشار ديسفوريا
وثقت NICT اليابانية بشكل مستقل نفس التحول من جاك سكيد إلى ENS/SNS في مايو، ووجدت، مثل Nokia وComcast، أن هناك رموز وسلاسل مشتركة مع عدة عائلات بوتنت أخرى. تشير هذه التداخلات إلى أدوات مشتركة بدلاً من إثبات مشغل واحد، ولم يذكر أي من الباحثين اسمًا.
تقول XLab إن ديسفوريا تنتشر من خلال تخمين كلمات المرور الضعيفة في Telnet وSSH ومجموعة من الثغرات المعروفة في تنفيذ التعليمات البرمجية عن بُعد لأجهزة IoT في أجهزة التوجيه، والبوابات، والكاميرات. أحد الأمثلة الموجودة في كلا القائمتين المنشورتين هو CVE-2025-9528، وهو عيب في حقن الأوامر لجهاز Linksys E1700 تم الكشف عنه في أغسطس 2025 مع استغلال عام.
لم يستجب البائع للتقرير الأصلي. يقيم متجه CVSS الخاص بـ NVD العيب على أنه يتطلب امتيازات عالية، ولم يشرح أي من المنشورات كيف يتناسب مع سلسلة انتشار البوتنت.
تحليل الهجمات
وجدت مقارنة من The Hacker News أن منشور XLab وإشعار CNCERT المنعكس ينشران قوائم ثغرات مختلفة على الرغم من تقديم نفس البحث المشترك. يتفق كلاهما على أن كلمات مرور Telnet وSSH الضعيفة تظل الطريقة الأكثر اتساقًا للدخول.
تقول XLab إن ديسفوريا تهاجم أهداف خدمات الإنترنت والألعاب تقريبًا يوميًا، لكنها لم تسمي أي ضحايا أو ذروات مقاسة. يعلن المتجر عن هجمات تصل إلى حوالي 4 تيرابايت في الثانية مقابل عشرات إلى مئات الدولارات، لكن هذا ادعاء من المشغل، وليس هجومًا مقاسًا.
قاس Cloudflare هجومًا بلغ 31.4 تيرابايت في الثانية من بوتنت AISURU/Kimwolf ذي الصلة قبل التعطيل في مارس. لم يذكر CNCERT وXLab والبحث السابق عن جاك سكيد أي مشغل. لم يقم أي مصدر مستقل بقياس ذروة هجوم ديسفوريا أو تأكيد الحجم المبلغ عنه البالغ 200,000 جهاز.
تظل التهديدات التي تشكلها بوتنتات مثل ديسفوريا قائمة، مما يستدعي ضرورة تعزيز الأمن السيبراني لأجهزة إنترنت الأشياء. يجب على المؤسسات والأفراد اتخاذ خطوات استباقية لحماية أنفسهم من هذه التهديدات المتزايدة.
