Mirai新变体瞄准ARM架构云实例，僵尸网络向云环境加速扩张

安全厂商监测发现，Mirai僵尸网络家族出现新一代变种，不再局限传统路由器、摄像头等物联网硬件，开始大规模针对ARM架构云实例进行扩张感染。该变种编译完整ARM64、ARM32多架构载荷，通过暴力破解与漏洞扫描入侵云上ARM服务器，将云实例吸纳为僵尸网络肉鸡，对外发起DDoS攻击，部分样本还附带挖矿模块，给云服务商与云上业务带来新的安全风险。

一、攻击转向：从IoT硬件蔓延至ARM云主机

Mirai最早爆发时，主要感染家用路由器、网络摄像头、NVR等嵌入式IoT设备，依靠Telnet弱口令爆破完成入侵。而随着ARM架构云实例普及，云厂商大量推出高性价比ARM云服务器，用于Web服务、容器、轻量应用、边缘业务，攻击者顺势调整目标，把云上ARM实例作为重点扩张方向。

和传统物联网设备相比，ARM云实例具备更高网络带宽与算力。一旦被攻陷，可为僵尸网络提供更强的攻击输出能力，既可以发起UDP洪水、SYN洪水网络层DDoS，也能够执行HTTPFlood应用层攻击，部分变体还会在被入侵实例后台植入挖矿程序，实现“DDoS+挖矿”双重牟利。

以往Mirai变种主要危害内网物联网，如今直接感染公网云服务器，意味着僵尸网络攻击资源得到进一步放大，安全风险由物联网传导到云业务层面。

二、入侵传播链路，针对云环境做适配优化

该Mirai新变体保留家族经典扫描爆破逻辑，同时针对Linux云环境做了针对性优化。
第一，多架构适配。恶意程序内置多版本二进制，可自动识别宿主机CPU架构，在ARM32、ARM64环境直接运行，同时兼容x86‑64平台，扩大扫描感染范围。

第二，主要攻击手段为SSH、Telnet弱口令暴力破解，使用内置庞大弱密码字典，针对对外开放22、23端口的ARM云实例批量扫描尝试登录。

第三，利用公开N‑day漏洞。对存在未修补漏洞的ARM云主机进行漏洞利用，拿到执行权限后，下载恶意载荷，内存驻留运行，连接C2服务器接收攻击者指令。

恶意样本多数驻留内存执行，部分会写入临时目录，伪装成系统进程躲避运维人员排查；同时会查杀服务器上其他竞争恶意程序，独占被攻陷主机资源。服务器重启可清除内存中的恶意程序，但如果弱口令、漏洞问题没有修复，短时间内会被再次感染。

三、ARM云实例容易中招的现实诱因

大量ARM云实例被攻陷，暴露出云上用户几类典型安全短板。

不少开发者、中小企业选用ARM云做测试、轻量业务，安全配置松懈，直接使用弱密码，甚至保留云平台默认账号密码，SSH/Telnet直接对公网开放，没有设置访问白名单。

部分实例长期不更新系统内核与软件包，存在可被利用的公开漏洞，未及时打补丁。很多用户存在认知误区，认为Mirai只是物联网病毒，云服务器不会遭遇该家族威胁，因此缺少针对性检测与告警。

ARM实例常被用于容器、边缘节点，批量开通大量实例时，如果镜像本身存在安全缺陷，会出现批量沦陷的情况。

四、感染带来的业务连锁危害

当ARM云实例沦为Mirai僵尸网络肉鸡，会产生多重连锁后果。
被入侵服务器向外发起DDoS攻击，会消耗大量带宽、CPU资源，导致自身业务卡顿、服务异常。云厂商会检测到异常对外攻击流量，触发风控，对实例限流、封禁IP，造成业务中断。如果变体附带挖矿模块，算力被持续占用，实例资源被耗尽。

同时受感染云主机可作为跳板，对内网其他云资源横向扫描渗透，威胁整个云业务环境安全。安全观测数据显示，被攻陷的ARM云节点，已经参与多起对外DDoS攻击事件。

五、针对Mirai新变体的防御处置方案

对抗针对ARM云实例的Mirai变种，需要从访问控制、漏洞修复、监控告警多维度落地防护。

1、访问账号层面：云实例禁止使用弱口令，关闭不必要的Telnet服务；SSH尽量启用密钥登录，禁用密码认证；配置安全组，限制22、23端口访问来源IP，不向全网开放管理端口。

2、系统运维层面：及时更新操作系统、组件补丁，修补已知安全漏洞；定期检查/tmp等临时目录异常二进制文件，排查陌生高占用进程。

3、监控告警层面：ARM云主机增加告警，重点监控异常对外大量发包、陌生外连C2地址、CPU异常飙升等现象。接入云厂商的入侵检测能力，及时发现暴力破解、恶意程序执行行为。

4、应急处置方面：一旦确认被感染，优先断开网络隔离实例；清除内存与磁盘中的恶意载荷，排查账号后门；完成漏洞与账号加固之后再恢复业务。