Dysphoriaボットネット、ブロックチェーンを悪用し20万台超のIoT機器に感染

ブロックチェーンを悪用したC2隠蔽

2026年初頭から、新たなIoTボットネット「Dysphoria」が約20万台のIoT機器に感染し、新たな脅威として確認されている。このボットネットは、ブロックチェーンベースのドメインネームシステム（DNS）を悪用してコマンド・アンド・コントロール（C2）サーバーの情報を隠蔽し、感染した機器をDDoS攻撃やネットワークプロキシとして利用することで、検知や遮断を回避している。

Dysphoriaは、Ethereum Name Service（ENS）およびSolana Name Service（SNS）を利用してC2情報を秘匿している。これらのブロックチェーンドメインはTXTレコードを保存し、インフラ情報を動的に提供することで、C2インフラの特定や追跡を困難にしている。また、偽のIPv6アドレスと独自の変換アルゴリズムを組み合わせて実際のC2アドレスを隠す手法を採用しており、セキュリティ企業によるサーバーの追跡や遮断を一層困難にしているとみられる。

攻撃手法の変化とIoT機器の防御対策

Dysphoriaは当初、DDoS攻撃機能を備えたボットネットとして活動していたが、2026年6月以降はプロキシ機能に特化した亜種が確認されている。この亜種は、感染したIoT機器のUPnP機能を悪用してポートを開放し、ネットワークサービスを外部へ公開することで、攻撃者が匿名性を維持したまま攻撃の中継基盤として利用できるようにしている。

また、Dysphoriaは旧型IoT機器の既知の脆弱性を重点的に悪用している。React2Shell（CVE-2025-55182）、Linksys製機器（CVE-2025-9528）、Huawei製旧型機器（CVE-2017-17215）などの脆弱性を悪用し、多数の機器へ感染を拡大している。これらの脆弱性は依然として未修正の機器が多く、大規模感染を引き起こす要因となっている。

Dysphoriaへの対策として、セキュリティ専門家はIoT機器のファームウェアを最新の状態に維持するとともに、初期設定の管理者パスワードを変更することを推奨している。また、不要なリモート管理機能を無効化し、外部からアクセス可能なサービスを最小限に抑えることも有効な対策となる。IoTボットネットの攻撃手法は継続的に高度化していることから、組織には継続的な監視と最新の脅威情報に基づく迅速な対応が求められる。