新型RCtea变种木马持续扩张肉鸡池，内置多协议DDoS攻击模块

网络安全监测平台近期告警，RCtea僵尸网络家族出现新一轮变种迭代，当前重点目标是持续扩大肉鸡储备，木马内置完整多协议DDoS攻击能力，主要瞄准路由器、监控摄像头等IoT物联网设备。该变种依托加密C2通道、弱口令爆破横向扩散，现阶段以“蓄能扩张”为主，暂未大规模发起攻击，给IDC运营商、机房运维、物联网设备管理者带来潜在DDoS风险。

一、变种更新要点：通信隐匿性升级，攻击模块完备

和早期RCtea样本对比，本次变种重点优化了反检测机制与攻击调度能力。

通信层面继续沿用TEA变种+ChaCha20双重加密方案，C2不再绑定固定IP，内置多组备用控制地址，上线报文拆分分片传输，普通流量审计很难识别C2心跳特征，大幅提升僵尸网络的存活韧性。

攻击模块是本次最值得关注的变化，原生集成SYNFlood、ACKFlood、UDPFlood、TCPFlood等多种四层洪水攻击模式，支持攻击者远程下发指令，灵活切换攻击向量、目标IP、攻击时长。肉鸡上线后静默待命，平时几乎无异常流量，接到指令后可协同发起分布式流量打击。

从架构来看，变种优先编译ARM、MIPS架构版本，适配绝大多数家用和工业物联网设备，传播效率更高。

二、传播路径：Telnet弱口令爆破为主要入侵入口

RCtea变种的扩散逻辑简单但有效：依靠内置字典对全网开放Telnet端口的设备进行轮询扫描，尝试弱口令暴力破解。一旦拿下一台设备，木马会自动在内网、公网继续扫描，把受害设备变成新的扫描节点，形成链式感染。

很多中小机房、商铺监控、家用路由长期使用默认账号密码、简单弱口令，且没有做访问限制，很容易被批量扫中。设备感染后会设置持久化自启，即便重启设备，木马依然会重新连接C2、等待攻击指令。

值得警惕的是，攻击者不急于立刻打流量，现阶段核心任务就是批量收肉鸡，属于典型的“先养后打”模式，等僵尸网络规模达到预期，就可以承接有偿DDoS攻击订单，定向打击网站、游戏、独立站业务。

三、风险传导：IoT肉鸡集群对建站业务的威胁

对于站长、CDN服务商、高防运营方来说，RCtea变种带来两类直接风险。

第一，海量IoT肉鸡作为攻击源，IP分散、遍布各地，溯源清洗难度更大。IoT设备带宽虽然单台不高，但上万节点协同发包，叠加UDP反射放大，很容易打出G级乃至T级混合流量，冲击源站与清洗集群。

第二，肉鸡IP来源混杂，大量是家庭宽带、小区动态IP，普通IP黑名单策略效果有限；攻击流量报文特征简单，和正常网络数据包差异小，容易绕过基础防护规则。

另外，企业内网如果有摄像头、工业物联网设备中招，还可能成为内网横向渗透跳板，威胁服务器、业务主机安全。

四、运维自查与应急处置方案

1、全网关闭不必要的Telnet管理端口，优先改用SSH，所有物联网设备、路由设备设置高强度独立密码，杜绝admin、123456这类默认弱口令。

2、机房边界、IoT网关侧部署端口扫描告警，对短时间大量对外发起Telnet扫描的设备及时隔离排查。

3、建立IoT资产台账，定期离线升级固件，关闭公网直接访问管理后台的权限，优先内网访问+VPN运维。

4、发现疑似感染主机，第一时间断网隔离，查杀恶意程序，排查C2连接日志；清理完成后必须修改所有管理密码，避免二次被拿下。

5、高防、CDN侧提前做好混合洪水攻击预案，针对UDP、SYN、ACK多协议洪水配置联动清洗策略，做好超大流量弹性带宽预留。

总结

RCtea新变种的核心威胁不在于当下，而在于持续扩充的分布式肉鸡资源池。依托物联网弱口令生态快速扩量、加密隐蔽通信、多协议DDoS模块化设计，让它成为黑产手里性价比很高的流量攻击武器。

对于机房、物联网运营商、安全服务商而言，防范重心要前置到入口管控，封堵弱口令爆破通道，做好IoT资产安全基线。站长和业务方也要清楚，未来很多DDoS攻击流量会源源不断来自海量物联网肉鸡，单纯依靠事后清洗，防护压力会持续加大，上下游协同治理弱口令、暴露端口才是长效方案。