RCtea僵尸网络扩大发包规模，物联网肉鸡成为DDoS攻击生力

近期安全监测显示，RCtea新型物联网僵尸网络持续扩张受控设备规模，发包速率显著抬升。该僵尸网络以路由器、网络摄像头等物联网设备为侵染对象，依靠海量家庭宽带IP向外输出DDoS攻击流量，给云服务商、线上业务平台带来新的网络安全压力。不同于传统数据中心肉鸡，大量分散的住宅IP攻击流量，给清洗识别、溯源处置带来不小挑战。

一、传播逻辑：依靠弱口令批量劫持物联网终端

RCtea僵尸网络自2025年12月开始活跃，主要针对ARM、MIPS架构物联网设备扩散，传播手段以Telnet暴力破解为主，依靠内置弱口令字典扫描公网暴露设备，攻陷后植入恶意程序继续向外扫描侵染更多终端。

木马具备较强的对抗能力，采用多重加密算法处理C2通信，使用随机文件名躲避静态查杀，还设置内存保护机制，避免被系统进程回收，能够在设备中长期潜伏驻留国家互联网...。前期以扩张肉鸡数量为首要目标，当下受控节点持续增长，已经从“蓄能扩张”阶段转向高频发包执行攻击任务，大量被感染设备接到指令后对外输出洪水流量。

二、发包特征：多协议DDoS，源IP高度分散

随着受控节点上涨，RCtea发包规模持续放大，支持SYN、ACK、UDP、TCP等多种洪水攻击模式，可同时发起网络层多向量DDoS打击。攻击流量来源遍布大量家庭宽带IP，每台物联网设备单轮发包带宽不高，但成千上万节点协同发力，可叠加形成大流量攻击。

攻击流量混杂大量真实住宅IP，没有明显集中的攻击源段。传统依靠封禁IP段的防护手段效果大打折扣。攻击者可灵活调度发包节奏，既可以释放持续大流量，也可以执行脉冲式间歇袭扰，针对SaaS、直播、电商、游戏等业务开展定向打击。肉鸡分布广泛，跨境跨地域，溯源定位控制端难度大幅提升。

三、现实威胁：物联网设备沦陷引发连锁风险

RCtea带来双重安全风险，一方面，普通家庭、中小企业的路由器、摄像头被劫持，设备控制权完全流失，沦为黑产攻击工具，设备本身稳定性下降，出现卡顿、重启、异常对外联网等现象。

另一方面，海量肉鸡形成廉价攻击资源池，可被用于敲诈勒索、同行竞争报复。业务平台即便带宽充足，也会遭遇海量分布式流量冲击，出现链路拥塞、网关CPU跑满、业务访问卡顿。很多企业防护习惯重点对抗机房IP攻击，对大量分散家庭IP组成的物联网僵尸流量准备不足，极易出现防护失效。一旦僵尸网络规模继续膨胀，未来还可能出现混合反射、碎片报文等复合攻击变体。

四、防护处置：终端加固与网络防御双向发力

对抗RCtea僵尸网络威胁，需要物联网终端、网络防护两端协同落实。

终端侧，公网暴露的路由器、摄像头，务必修改默认弱口令，关闭不必要的Telnet外网访问，及时更新固件版本。设备出现异常频繁对外连接外网、莫名卡顿重启，要及时排查是否已经被木马侵染，必要时恢复出厂重置设备。

网络防护层面，安全运维要新增对海量分散住宅IP流量的监控，不只关注大带宽告警，同步监测SYN、UDP小包脉冲流量。高防、WAF开启分布式异常源识别，优化针对海量离散IP的限速策略。做好威胁情报更新，及时拦截RCtea相关C2恶意地址。同时留存攻击日志，遇到大规模袭扰，及时上报网络安全监测机构。

物联网安全短板，正在不断喂养新型僵尸网络。RCtea的规模扩张也再次警示，大量弱口令联网设备，已经成为网络攻击的底层弹药库。只有做好终端基础加固，完善针对分布式物联网肉鸡流量的防护策略，才能降低被袭扰的风险。