GODOFTHUNDER威胁团伙利用PHP高危漏洞，投放Mirai衍生DDoS木马

近期威胁情报平台捕获GODOFTHUNDER团伙的大规模攻击活动，该团伙以PHP2Shell高危漏洞为入口，定向扫描入侵对外开放的PHP站点与云主机，入侵成功后下发基于Mirai二次开发的DDoS木马，持续吸纳高带宽服务器作为肉鸡，组建可发起大容量流量攻击的僵尸集群，给站长、IDC服务商带来新的安全压力。

一、攻击入口：PHP2Shell无验证远程代码执行漏洞

本次攻击依托CVE-2026-109618、CVE-2026-109619，也就是业内统称的PHP2Shell漏洞，属于CVSS高分的未授权RCE漏洞。攻击者不需要账号密码，仅构造特殊HTTP请求包，就能在目标服务器上执行任意系统命令。

漏洞POC公开之后，全网扫描量快速飙升，WordPress、Discuz、各类PHP建站系统、宝塔面板搭建站点、虚拟主机都在扫描范围内。GODOFTHUNDER团伙是最早批量利用该漏洞的攻击组织之一，自动化扫描7×24小时不间断探测公网80、443端口PHP服务，优先抓取Linux架构服务器作为攻击目标。

二、GODOFTHUNDER团伙攻击链路与C2特征

整套入侵流程分为探测、漏洞利用、载荷下发、上线受控四个阶段。

扫描器确认目标存在漏洞后，执行命令下载对应系统架构的Mirai变种bot程序；木马落地后，会清理服务器内其他同类僵尸程序，避免和其他黑产团伙争夺肉鸡资源；随后木马发起DNS查询`thunder.godofthunder.st`，连接指定C2节点134.199.154.64的50792端口，接收控制指令。

和传统面向IoT设备的Mirai版本不同，该变种专门针对云服务器优化，主打TCP、UDP多协议洪水攻击。沙箱观测记录显示，受控单节点短时间即可输出千万级数据包，生成数十GB攻击流量，带宽破坏力远超普通IoT肉鸡。

三、团伙作战目标：囤积高带宽肉鸡，提供DDoS发包服务

GODOFTHUNDER的核心诉求不是拖库、植入黑链、挖矿，而是批量掌握带宽资源优质的云主机。

IoT设备普遍带宽低、运营商管控严格，很容易被限流；而被攻陷的云服务器、独立主机上行带宽充足、网络链路稳定，是黑产市场里价值更高的DDoS肉鸡。团伙持续扩群后，对外售卖DDoS攻击服务，针对游戏服、电商站点、跨境独立站发起流量打击。

情报显示该团伙会分批调度肉鸡，优先对海外IP段目标实施测试攻击，持续验证集群发包稳定性，后续随时可以转向国内业务站点。

四、高风险资产识别，哪些服务器容易中招

1.直接暴露公网、长期未升级的PHP服务，PHP官方未打上漏洞补丁的版本风险最高；

2.宝塔、WDCP等面板搭建的批量虚拟主机平台，单宿主机承载大量PHP站点，单点沦陷存在横向扩散风险；

3.没有部署WAF、未限制海外IP访问、日志长期不审计的中小企业官网与个人站点；

4.轻量云服务器，运维人员习惯默认配置、疏于安全巡检，很容易被扫描器命中。

五、运维应急处置与加固方案

1.第一时间升级PHP至安全版本，暂时无法升级的业务，通过WAF拦截PHP2Shell攻击特征载荷；

2.服务器排查/tmp、/var/tmp临时目录，查杀陌生ELF二进制程序，清理未知定时任务与自启动项；

3.防火墙收紧策略，封禁陌生对外出站大流量，限制服务器主动访问未知C2域名、IP；

4.开启流量审计，监控服务器向外大量发包的异常行为，一旦发现肉鸡及时下线隔离；

5.域名与DNS侧监控`thunder.godofthunder.st`这类恶意C2域名解析请求，内网DNS加入拦截库。

小结

GODOFTHUNDER团伙的攻击活动，是近期PHP2Shell漏洞利用浪潮里特征清晰的黑产案例。随着漏洞利用门槛降低，会有更多团伙加入扫描捕获服务器肉鸡的行列。

对于IDC服务商、批量建站的运维人员来说，漏洞补丁是第一道防线，同时要意识到服务器沦为DDoS肉鸡的连带风险：不仅业务本身受损，还可能因为对外发包被运营商封禁IP、关停服务器。建议尽快完成资产巡检，同步做好流量监控与恶意C2域名拦截，降低被纳入僵尸集群的概率。