2026-10-16 02:36:35 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

网络安全知识小讲堂 | 6天2015台设备被控：老设备是怎么变成肉鸡的

武汉网络安全

2026年10月9日 17:40
湖北

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

点击上方蓝字关注武汉网络安全

拆开这条感染链，你就有办法判断自家设备有没有中招。

据CNCERT/CC官网9月30日消息，国家互联网应急中心（CNCERT）与绿盟科技集团股份有限公司联合发布风险提示：新型僵尸网络FlyLegit正针对Linux服务器和IoT设备传播。

9月3日至8日这6天，境内活跃\"肉鸡\"（被遥控、机主不知情的设备）约2015台，单日上线最高427台。它们大多没装安全软件。怎么就被批量收编了？

本文事实与数据引自国家互联网应急中心（CNCERT）与绿盟科技集团股份有限公司联合发布的《关于新型僵尸网络 FlyLegit 大范围传播的风险提示》（2026-09-30），出处见文末。

老协议加老口令，门是自己开的

报告写得很直接：它主要靠两条路进门，一是Telnet弱口令扫描，二是漏洞利用，被点名的有Realtek芯片方案上的旧漏洞CVE-2018-10561。

Telnet是设备远程登录的老协议，口令明着发，等于在明信片上写密码。很多出厂固件默认开着它，账号口令就是admin、root这类；弱口令就是短、常见、能被猜到的口令，好比把钥匙留在锁孔里。扫描器在公网上批量试一遍。

CVE-2018-10561是2018年公开的漏洞（CVE 是漏洞的全球编号）。旧漏洞的价值恰恰在于修补率低、扫描成本几乎为零。

2026年7月之后的版本还有个变化：木马内置了Telnet和Realtek漏洞扫描功能，被控设备会主动去扫别人。

设备被收编，往往不是被高手盯上，而是它把大门和钥匙一起留在了公网上。

进门之后，它先把自己焊死

落地文件的命名很统一：木马一律用iran加架构标识，比如iran.x86\_64；下载脚本多叫cat.sh。

架构指设备CPU的指令集类型。木马覆盖X86、x64、arm、mips、mipsel、sh4、ppc共7种架构，从服务器到开发板都有对应版本；cat.sh会自己判断架构，再用wget或curl拉下对应版本。

要活过重启，木马得占一个开机自启的位置。它用的是/etc/init.d和/etc/rc.local——Linux上放启动脚本的两个老地方。设备每重启一次，它就跟着起来一次，同时清掉机器上的其他恶意进程。

报告累计捕获68个下马地址（木马的下载地址）、900个木马下载URL。

从进门到驻留，全程没用上什么新东西，全是老位置上的老写法。

一台肉鸡能干什么

传统僵尸网络主要用来打DDoS，它保留了这个能力，报告列出了 tcp、syn、udp、udpplain、http、icmp、gre共7类攻击指令。

但它多了两样东西。

一是自更新。木马连上内置的硬编码IP和端口，用HTTP GET拉新版木马，优先存/tmp/，写不进去就依次试/var/、/dev/shm/。你今天抓到的特征，过几天可能就对不上。

二是Shell能力。Shell就是操作系统的命令行，能敲命令就等于能操作这台机器。!openshell是正向Shell，被控设备开一个端口等着，凭口令进入；!shellcmd是反向Shell，由设备主动回连。

剩下的是听指挥。木马用ping-pong做心跳：发ping，回pong，并带上架构信息。C2（命令控制服务器，攻击者下发指令的中转站）累计捕获40个节点，主要在欧洲，换完偏爱复用7080、8060、7777端口。

一个细节能看出取舍：早期版本用ChaCha20加密C2通信，最新版反而改成明文。加密费时间，明文省事。

一台设备一旦上线，它就不只是靶子，还是下一轮扫描的起点。

怎么判断自家设备已经被拉走

报告的动作换成检查项，四步就能过一遍。

先看文件。确认有没有iran加架构标识命名的文件，以及叫cat.sh的脚本，这两个名字是固定的。

再看启动项。/etc/init.d、/etc/rc.local里如果有你没写过的启动命令，就是异常。这是它活过重启的地方，也最容易露出来。

然后看出网行为。日志里出现指向陌生境外IP的固定端口连接，尤其是7080、8060、7777，就要往下追。出向流量突然抬起来，可能是它在替别人打DDoS。

最后看管理面。Telnet是不是还开着，管理口是不是挂在公网，口令是不是还没改。

报告附录给了完整的IOC清单（IOC 指可直接匹配的威胁指标），交给边界设备封禁最省事。

整条链收成五步：弱口令扫描 → 拉取脚本 → 落地木马 → 写入自启 → 回连C2。任何一步留下痕迹，都够你判断这台设备已经被拉走。

能被看见的设备，都是先留下了文件、启动项和一条异常外联。

防护建议

报告给出的防范建议一共6条。落到日常运维上，可以分成两组：先用一周时间堵掉最明显的口子，再把设备管理这件事写进制度。

排优先级很简单：如果有人能从公网直接摸到管理口，先处理它；如果摸不到，就先处理那些长期没人管、版本停在几年前的设备。

短期（本周就能动手）

关闭不必要的Telnet与设备远程管理接口，管理口不要直接暴露在公网
改掉所有设备的默认口令，多台设备不要共用同一个口令
排查/etc/init.d、/etc/rc.local启动项，确认无iran、cat.sh文件

长期（写进制度）

把Linux服务器和IoT设备纳入资产台账，定期核对固件与系统组件版本
按报告附录的C2清单在边界设备封禁，并监测异常DDoS出向流量

前三条是止血，后两条是防复发。两组都做完，同类僵尸网络下一次扫到你这里的概率会低很多。

设备不会自己变安全，它只是安静地等着被扫到。

你手上还有多少台设备的管理口，还开在公网上？

本文事实依据：
1. 国家互联网应急中心（CNCERT）、绿盟科技集团股份有限公司：《关于新型僵尸网络 FlyLegit 大范围传播的风险提示》，2026-09-30，https://www.cert.org.cn/publish/main/10/2026/20260930172928865590388/20260930172928865590388\_.html
2. 国家互联网应急中心（CNCERT）、绿盟科技集团股份有限公司：《关于新型僵尸网络 FlyLegit 大范围传播的风险提示》报告全文（含 IOC 清单），2026-09-30，https://www.cert.org.cn/publish/main/upload/File/Botnet\_FlyLegit\_Report.pdf