CNCERT | 关于新型僵尸网络FlyLegit大范围传播的风险提示

中国信息安全

2026年9月30日 18:21
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

以下文章来源于国家互联网应急中心CNCERT
，作者CNCERT

国家互联网应急中心CNCERT
.

国家计算机网络应急技术处理协调中心（简称“国家互联网应急中心”，英文简称CNCERT或CNCERT/CC），成立于2001年8月，为非政府非盈利的网络安全技术中心，是中国计算机网络应急处理体系中的牵头单位。

本报告由国家互联网应急中心（CNCERT）与绿盟科技集团股份有限公司共同发布。

一、概述

近期，CNCERT与绿盟科技集团股份有限公司联合监测发现，新型僵尸网络家族FlyLegit持续针对Linux服务器及IoT设备开展传播，远程控制相关设备发起DDoS攻击。该家族自2025年末进入监测视野后持续更迭版本，已对相关设备构成较大安全威胁。

FlyLegit名称源自攻击者建立的Telegram群组t.me/flylegit。攻击者通过Telegram群组进行宣传推广，吸引潜在客户或使用者。与主要用于DDoS攻击的传统僵尸网络相比，FlyLegit除支持多种DDoS攻击外，还具备程序自更新、正向Shell和反向Shell等功能，可将受感染设备作为后续攻击的立足点，并根据需要投递其他恶意组件。

截至目前，已累计捕获68个下马地址、900个用于下载不同架构木马的URL链接，覆盖X86、x64、arm、mips、mipsel、sh4、ppc等7种架构，对应40个C2节点，攻击者月均更换约5个C2节点。2026年9月3日至8日期间，该僵尸网络在我国境内已确认的活跃“肉鸡”规模约2015台，境内日上线肉鸡数量最高达427台。

二、僵尸网络分析

（一）传播方式与基础设施

1.传播与投递

FlyLegit僵尸网络主要通过Telnet弱口令扫描及漏洞利用（如Realtek CVE-2018-10561等）两类手段进行传播。落地木马文件统一以iran加架构标识命名，如iran.x86\_64；下载脚本多命名为cat.sh。

下载脚本内置x86\_64、mips、arm等多架构适配逻辑，通过wget或curl自动下载对应架构的木马至受害主机。木马执行时需附加运行参数，曾使用的参数包括telnet、catloader、\"\"、$@、\"$@\"及Default（无参运行），这些参数后期被用于构建上线包。

图1 FlyLegit僵尸网络能力与攻击链

2.传播节点

自2025年12月底以来，累计捕获68个下马地址、900个用于下载不同架构木马的URL链接。攻击者约每隔一周更换一次下马地址，传播文件多采用iran加架构标识的统一命名方式。现有监测数据反映，攻击者仍在持续维护和扩充该僵尸网络。

图2 FlyLegit每月新增下马地址

3.C2分布

2025年12月底至今，累计捕获FlyLegit僵尸网络40个C2节点。这些节点分布于德国、荷兰、法国等近10个国家，其中德国和荷兰占比分别为43%和28%。攻击者C2更换较为频繁，月均更换约5个节点；更换后倾向于复用原有端口，7080、8060、7777等端口被多次使用。运营基础设施大量选用欧洲中小型主机服务商。

图3 FlyLegit C2地理位置分布

（二）样本技战术特点

1.版本更迭

不同时期，FlyLegit所能处理的控制指令有所不同。初始版本支持6种DDoS攻击方式；2026年1月至6月期间，部分版本缩减了控制指令和攻击方式；2026年7月起，样本重新增加多种DDoS攻击指令，并加入Telnet扫描和Realtek相关漏洞扫描功能。除ping指令外，控制指令演变情况如下：

2.驻留与对抗

FlyLegit通过/etc/init.d、/etc/rc.local等方式实现持久化，确保系统重启后自动恢复；同时清除竞争对手进程，以独占受控主机资源。早期部分版本采用ChaCha20算法对C2通信内容进行加密，最新版本已改为明文通信。

3.通信机制与命令控制体系

FlyLegit命令控制体系主要包含上线认证、心跳应答和指令下发三个环节。上线包格式为<架构名称> ，其中group字段用于区分不同活动批次，默认值为default；如果启动脚本传入参数，木马会将该参数写入group字段。

该家族通过ping-pong命令实现心跳响应：攻击者下发ping指令，木马回复pong并携带主机架构信息。C2指令采用字符串形式和key=value格式，支持配置攻击报文大小、源IP地址及端口等参数。部分版本的C2指令通过ChaCha20加密传输，木马内置初始密钥，下发数据开头包含解密所需的nonce参数。

4.核心攻击能力

FlyLegit的核心攻击能力包括程序自更新、DDoS攻击及Shell命令执行。!update指令用于木马自更新：木马连接内置的硬编码IP和端口，发送HTTP GET请求下载新版木马，优先保存至/tmp/目录；若该目录不可写，则依次尝试/var/、/dev/shm/及当前目录，下载完成后设置执行权限。

攻击者可通过指令控制木马在指定时间段内向目标发送攻击载荷，已发现的DDoS攻击指令如下：

该家族还支持正向Shell和反向Shell，可获取被控主机远程Shell访问权限并执行命令：

三、僵尸网络感染规模

通过监测分析发现，2026年9月3日至8日期间，FlyLegit僵尸网络在我国境内已确认的活跃“肉鸡”规模约2015台，境内日上线肉鸡数量最高为427台。

图4 境内日上线肉鸡数量分布情况

四、防范建议

请广大网民强化风险意识，加强安全防范，避免不必要的经济损失，主要建议包括：

（1）关闭不必要的Telnet、SSH及设备远程管理接口，禁止将管理端口直接暴露在公网；

（2）修改设备默认口令，使用强口令，并避免多台设备共用同一密码；

（3）排查并修复报告涉及的漏洞，及时升级设备固件和Linux系统组件；

（4）在网络侧监测异常扫描、下马请求、C2连接和异常DDoS流量；

（5）发现感染后立即隔离设备，保留必要日志和样本，核查入侵入口，完成漏洞修复和凭据更换后再恢复业务；

（6）对无法安装终端防护软件的IoT设备，通过访问控制、网络分区和出口限制降低风险。

五、相关IOC

（一）C2

（二）Hash

（来源：CNCERT）