خلل النطق، وهو خط الروبوتات لإنترنت الأشياء (IoT) الذي تم تتبعه بواسطة CNCERT وXLab، اعتمد خدمات الأسماء المستندة إلى blockchain ومرحلات الأجهزة المصابة بعد عملية إنفاذ القانون في مارس ضد البنية التحتية لـ JackSkid. ويقول الباحثون إن التصميم يجعل من الصعب تعطيل شبكة الروبوتات.
وقد قدر كل من CNCERT، الفريق الوطني الصيني للاستجابة لطوارئ الكمبيوتر، وXLab، مختبر استخبارات التهديدات التابع لشركة Qi’anxin الصينية، عدد سكانها بأكثر من 200 ألف روبوت. سجل القياس عن بعد 4401 جهازًا نشطًا مؤكدًا داخل الصين في الفترة من 14 إلى 20 يوليو، وبلغت الذروة في يوم واحد 239000 روبوتًا في الخارج.
ولم يتم إعادة إنتاج أي من هذه التهم بشكل مستقل. لم ينشر الباحثون أي منهجية للعد أو إلغاء التكرار، لذلك لا ينبغي قراءة الأرقام على أنها إحصاء دقيق للأجهزة.
يجب على المدافعين تصحيح معدات إنترنت الأشياء المكشوفة، واستبدال الأجهزة التي لم يعد من الممكن تحديثها، وإزالة بيانات الاعتماد الافتراضية والضعيفة، وتعطيل الإدارة عن بعد وUPnP حيث لا تكون هناك حاجة إليها.
وتمتد هذه السلالة عبر JackSkid، وهي واحدة من أربع شبكات روبوتية لإنترنت الأشياء تم استهدافها في إجراءات منسقة لإنفاذ القانون في الولايات المتحدة وألمانيا وكندا في 19 مارس. ونسبت وثائق المحكمة أكثر من 90 ألف أمر DDoS إلى JackSkid وحدها.
في غضون أيام، قام مختبر التهديدات Nokia Deepfield وComcast بتوثيق عودة المشغل إلى مجال خدمة اسم Ethereum (ENS)، m3rnbvs5d[.]eth، للقيادة والسيطرة (C2). يبدأ الجدول الزمني لـ Dysphoria الخاص بـ XLab بعينة JackSkid التي تم التقاطها في 25 مارس، بعد ستة أيام من التعطيل، والتي تعمل على حل C2 من خلال نفس المجال.
وجد XLab أن بربري[.]يقوم السجل الأخلاقي بتشفير عناوين IPv4 لعقدة التوزيع، بينما يقوم 24carnforth2merseyside[.]يوفر sol سجلات البنية التحتية الأخرى. تطلب عينة DDoS من عقدة التوزيع عبر HTTP الحصول على قائمة الخوادم الحالية، وتكون نقاط النهاية المدرجة عبارة عن أجهزة مصابة تنقل حركة المرور إلى وحدات التحكم الحقيقية. يحافظ التصميم على إزالة وحدات التحكم هذه بخطوة واحدة من العناوين المعرضة للروبوتات.
يتتبع تحليل XLab، الذي نُشر في 25 يوليو، سلسلة سريعة من الإصدارات: تشفير سلسلة RC4 المخصص ودقة ENS في نهاية أبريل، يليها دقة Solana Name Service (SNS) في أوائل مايو. ظهر متغير الترحيل فقط في 25 يونيو، مع إضافة تعيين المنفذ المستند إلى UPnP بعد أيام لاجتياز بوابات NAT.
يقوم بناء الترحيل فقط بإسقاط وحدات DDoS ويستخدم بدلاً من ذلك UPnP لتعيين المنافذ على البوابة المحلية و Linux epoll لنقل حركة المرور بين اتصال خارجي وخدمة C2 بعيدة. قام XLab بتوثيق شبكة الروبوتات Kimwolf ذات الصلة باستخدام C2 المستندة إلى ENS في أواخر العام الماضي. يربط Dysphoria نموذج الدقة نفسه بشبكة ترحيل مبنية من ضحاياه.
يؤدي هذا التحول إلى تعقيد عملية الاستيلاء على الخادم التقليدي، لكنه لا يزيل البنية التحتية من السلسلة: فلا تزال شبكة الروبوتات تعتمد على سجلات سلسلة الكتل، وعقد التوزيع التي يمكن الوصول إليها، والمرحلات المخترقة.
وقد وثقت NICT اليابانية بشكل مستقل نفس التحول من JackSkid إلى ENS/SNS في شهر مايو، ومثلما حدث مع Nokia وComcast، عثرت على تعليمات برمجية وسلاسل مشتركة مع العديد من عائلات الروبوتات الأخرى. ويشير هذا التداخل إلى الأدوات المشتركة، وليس إلى إثبات عامل واحد، ولم يذكر أي من الباحثين واحدًا.
يقول XLab وNCERT إن خلل النطق ينتشر عبر تخمين كلمات المرور الضعيفة لـ Telnet وSSH ومجموعة من العيوب المعروفة في تنفيذ التعليمات البرمجية عن بُعد لإنترنت الأشياء في أجهزة التوجيه والبوابات والكاميرات. أحد الأمثلة الموجودة في كلتا القائمتين المنشورتين هو CVE-2025-9528، وهو خلل في حقن أوامر Linksys E1700 تم الكشف عنه في أغسطس 2025 باستخدام استغلال عام.
ولم يستجب البائع للتقرير الأصلي. يصنف ناقل CVSS الخاص بـ NVD الخلل على أنه يتطلب امتيازات عالية، ولم يوضح أي من المنشورين مدى ملاءمته لسلسلة انتشار الروبوتات.
وجدت مقارنة أجرتها The Hacker News أن منشور XLab وإشعار CNCERT المتطابق ينشران قوائم ثغرات مختلفة على الرغم من تقديم نفس البحث المشترك. يتفق كلاهما على أن بيانات اعتماد Telnet وSSH الضعيفة تظل هي الطريقة الأكثر اتساقًا.
يقول XLab إن Dysphoria يهاجم أهداف خدمات الإنترنت والألعاب يوميًا تقريبًا، لكنه لا يذكر أسماء الضحايا أو قمم القياس. تعلن واجهة المتجر عن هجمات تصل سرعتها إلى حوالي 4 تيرابايت في الثانية مقابل عشرات إلى مئات الدولارات، ولكن هذا ادعاء المشغل، وليس هجومًا محسوبًا.
قامت Cloudflare بقياس هجوم بسرعة 31.4 تيرابت في الثانية من شبكة الروبوتات AISURU/Kimwolf ذات الصلة قبل التعطيل الذي حدث في مارس. CNCERT، وXLab، والأبحاث السابقة لـ JackSkid لا تحتوي على مشغل. لم يقم أي مصدر مستقل بقياس ذروة هجوم خلل النطق أو تأكيد مقياس 200000 جهاز المُبلغ عنه.
