Küresel ölçekte faaliyet gösteren yeni bir botnet, yaklaşık 200 bin internete bağlı cihazı ele geçirerek siber saldırılarda kullanmaya başladı. Güvenlik araştırmacıları tarafından “Dysphoria” adı verilen zararlı yazılım ailesinin dağıtık hizmet engelleme (DDoS) saldırıları düzenlediği, bazı sürümlerinin ise ele geçirilen cihazları anonim trafik aktarma ağına dönüştürdüğü açıklandı. Araştırma, botnetin kısa sürede teknik açıdan önemli ölçüde geliştiğini ortaya koyuyor.

Blockchain Tabanlı Altyapı Botnetin Takibini Zorlaştırıyor

QiAnXin XLab araştırmacıları, Dysphoria’nın 2026 yılının ilk çeyreğinden bu yana aktif olarak takip edildiğini bildirdi. Güvenlik ekibi, zararlı yazılımın daha önce görülen jackskid ile fbot ailelerinden evrildiğini, yeni sürümlerde ise Ethereum ENS ile Solana SNS alan adlarını kullanan farklı bir komuta kontrol mimarisine geçtiğini belirledi.

Araştırmacılara göre saldırganlar, komuta kontrol sunucularının adreslerini sahte IPv6 dizileri içine gizliyor. Zararlı yazılım, özel olarak geliştirilen bir bayt dönüştürme algoritmasıyla gerçek adresleri çözüyor. Bu yöntem, geleneksel alan adı engelleme veya altyapıyı devre dışı bırakma çalışmalarını önemli ölçüde zorlaştırıyor.

Dysphoria yalnızca DDoS saldırıları gerçekleştirmiyor. Haziran ayı sonunda tespit edilen yeni varyant, saldırı işlevlerini kaldırarak ele geçirilen cihazları ağ vekil sunucusuna dönüştürmeye odaklandı. Zararlı yazılım ayrıca UPnP özelliğini kötüye kullanarak cihazlarda çok sayıda port yönlendirme kuralı oluşturuyor. Böylece internete kapalı servisler dış bağlantılara açılabiliyor.

XLab araştırmacıları, botnetin yayılmak için zayıf Telnet ile SSH parolalarının yanı sıra yönlendiriciler, IP kameralar ve IoT cihazlarını etkileyen çok sayıda güvenlik açığını kullandığını açıkladı. Saldırılarda React2Shell olarak bilinen CVE-2025-55182 başta olmak üzere CVE-2025-34152, Totolink cihazlarını etkileyen CVE-2025-28137 ile Linksys ürünlerindeki CVE-2025-9528 açıklarının istismar edildiği belirlendi.

Araştırma, eski güvenlik açıklarının da hâlâ saldırganlar için önemli fırsatlar sunduğunu gösteriyor. Huawei cihazlarını etkileyen CVE-2017-17215 ile DrayTek ürünlerindeki CVE-2020-8515 açığı, güncelleme almayan cihazlarda kullanılmaya devam ediyor. Güvenlik uzmanları, yıllar önce yayımlanan yamaların yüklenmemesinin milyonlarca IoT cihazını hâlâ risk altında bıraktığını vurguluyor.

XLab’in 14-20 Temmuz tarihleri arasında yaptığı gözlemlerde enfekte cihazlardan günlük en yüksek 740 bin bağlantı isteği kaydedildi. Araştırmacılar, mevcut botnet büyüklüğünün yaklaşık 200 bin cihaz seviyesinde olduğunu değerlendiriyor. Botnet operatörleri ise kendi internet sitelerinde saniyede 4 Tbps seviyesinde DDoS kapasitesi sunduklarını iddia ediyor. Bu değer, 2025 sonunda Aisuru/Kimwolf botnetinin ulaştığı 31,4 Tbps rekorunun gerisinde kalsa da büyük ölçekli çevrim içi hizmetlerde ciddi kesintiler oluşturabilecek seviyede bulunuyor.

Siber güvenlik uzmanları, benzer botnet saldırılarından korunmak için yönlendirici ve IoT cihazlarının üretici yazılımlarının düzenli olarak güncellenmesini, varsayılan yönetici parolalarının değiştirilmesini, gereksiz uzaktan erişim özelliklerinin kapatılmasını ve ağ güvenliği ayarlarının gözden geçirilmesini öneriyor. İnternete bağlı cihaz sayısı arttıkça temel güvenlik önlemleri, kurumsal ağlar kadar ev kullanıcıları için de kritik önem taşımaya devam ediyor.