国内多地中小企业云服务器遭FlyLegit僵尸网络批量入侵，弱口令设备成肉鸡

零日手记
零日手记

随笔漫记安全路

2026年10月15日 08:37
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

CNCERT（国家互联网应急中心）与绿盟科技联合发布风险提示：新型僵尸网络FlyLegit正在大范围传播，持续攻击Linux服务器和IoT设备，远程控制设备发起DDoS攻击。

这个家族2025年末进入监测视野，到现在还在持续更新版本。最特别的一点：攻击者在Telegram群组（t.me/flylegit）公开宣传推广，招揽潜在客户——僵尸网络做到\"明码标价、公开运营\"。

感染规模有多大

2026年9月3日至8日监测窗口内：

• 境内确认活跃\"肉鸡\"约2015台
• 日上线肉鸡数量最高427台
• 累计捕获68个下马地址、900个木马下载URL
• 40个C2节点，分布在德国、荷兰、法国等近10个国家
• C2月均更换约5个节点，攻击者仍在持续运营

木马覆盖7种CPU架构——X86、x64、arm、mips、mipsel、sh4、ppc，从云服务器到路由器、摄像头到工控设备，通吃。

攻击链拆解

传播方式：两条腿走路

1. Telnet弱口令扫描——主要手段，专收弱口令设备
2. 漏洞利用——如Realtek SDK漏洞CVE-2018-10561（一个8年前的老洞，至今还有大量设备没修）

落地特征：木马文件统一以iran加架构标识命名（如iran.x86\_64），下载脚本多叫cat.sh，内置多架构适配逻辑，wget/curl自动下载对应版本。

驻留与对抗

• 通过/etc/init.d、/etc/rc.local实现持久化，重启不死
• 清除竞争对手的木马进程，独占主机资源——黑产内卷的活标本
• 早期版本用ChaCha20加密C2通信，最新版本反而改明文（对抗思路在变）

核心能力：不只是DDoS

相比传统僵尸网络，FlyLegit多了三样东西：

• 程序自更新（!update指令）——从硬编码地址拉新版本，优先写/tmp，不可写就依次试/var、/dev/shm
• 正向Shell（!openshell）——在被控主机监听端口，口令做准入，攻击者远程执行命令
• 反向Shell（!shellcmd）——直接执行下发命令

这意味着受感染设备不只是DDoS炮灰，还会被当作后续攻击的立足点，按需投递其他恶意组件——挖矿、代理、内网横向，技术上随时可以加载。

DDoS能力：最新版本支持8种攻击方式——TCP/SYN/UDP/HTTP/ICMP Flood、udpplain、GRE Flood，且支持网段攻击和自我复制传播（selfrep telnet / selfrep realtek）。

为什么一直打不完：基础安全的欠账

CNCERT的传播渠道数据说明了问题根源——Telnet弱口令至今仍是主要入侵方式。

2026年了，还有大量服务器和IoT设备：

• Telnet/SSH管理端口直接暴露公网
• 用着admin/admin、root/123456级别的口令
• 8年前披露的Realtek漏洞没打补丁
• 无登录告警，被入侵了几个月都不知道

云上的业务主机贵重，反而是边缘设备无人管——而攻击者扫描全网时不会区分你的设备重不重要，弱口令就是入场券。

防护建议（CNCERT官方+实操补充）

企业侧：

1. 关闭不必要的Telnet、SSH及远程管理接口，管理端口绝不直接暴露公网——要远程运维走VPN或堡垒机
2. 改默认口令，用强口令，多设备别共用同一密码；SSH优先密钥登录，禁用密码认证
3. 排查修复漏洞——特别是Realtek SDK系设备（大量摄像头、路由器在用），升级固件
4. 网络侧监测：异常扫描、下马请求、C2连接（重点盯7080、8060、7777端口，攻击者倾向复用）、异常DDoS外发流量
5. 感染处置：立即隔离，保留日志和样本，核查入侵入口，修复漏洞+更换凭据后再恢复业务——直接重装不查入口，大概率再沦陷

IoT设备侧：

• 无法装终端防护的设备，用访问控制、网络分区、出口限制兜底——摄像头、门禁这类设备别和办公网混在一起

自查IOC：CNCERT通报附带了40个C2地址和样本Hash清单，原文可查。运维可以在边界设备上直接封禁。

结语

FlyLegit不是技术多先进的威胁——ChaCha20加密后来还改回明文，漏洞利用靠8年前的老洞。它的\"成功\"完全建立在大面积的基础安全欠账上。

弱口令+管理端口裸奔+永不打补丁，这三样凑齐，被任何僵尸网络收编只是时间问题。

Telegram上公开卖服务的僵尸网络都能活得很好，说明\"猎物\"从来不缺。你的服务器在名单里吗？

参考来源：CNCERT/国家互联网应急中心官方通报（与绿盟科技联合发布）