FlyLegit僵尸网络持续活跃，兼具DDoS攻击与入侵留后门能力

在Mirai等传统IoT僵尸网络持续被围剿的背景下，一款名为FlyLegit的新型僵尸网络正在持续迭代扩张。和以往主打流量轰炸的僵尸网络不同，FlyLegit是典型的“多功能攻击平台”：既可以对外发起DDoS流量攻击，又能在服务器、物联网设备上植入后门、维持持久控制，一鸡多吃的模式给运维防护带来全新挑战。

一、起源与传播渠道：Telegram黑产集市运营

FlyLegit的名称来源于攻击者运营的Telegram群组，黑产团伙依托该群组招揽客户、售卖攻击能力，是典型即服务化的DDoS黑产。该家族从2025年末进入安全厂商监测视野，版本更新节奏很快，持续优化免杀与逃逸能力。

它的入侵手段以SSH、Telnet弱口令爆破为主，搭配公开漏洞扫描，主攻Linux服务器、路由器、网络摄像头等IoT设备。木马适配性极强，覆盖x86、ARM、MIPS等7种主流硬件架构，能够适配市面上绝大多数物联网设备与低配云主机。监测数据显示，攻击者准备了近900条不同架构木马的下载链接，配套数十个C2控制节点，并且按月轮换控制地址，规避封堵与溯源。

二、双重威胁：流量打击+持久后门驻留

传统僵尸网络大多定位单一，感染设备后只用来输出攻击流量。FlyLegit最大的危险点，就是把DDoS能力和持久入侵能力整合在了一起。

一方面，它支持多类型DDoS泛洪，包含ICMPFlood、GREFlood、UDP反射等多种攻击向量，可以按需发起短时脉冲攻击或是持续流量轰炸，刚好契合CloudflareQ3季报提到的高频骚扰式攻击趋势。

另一方面，它内置正向Shell与反向Shell功能，也就是攻击者可以随时拿到被控设备的命令行权限。肉鸡不再仅仅是流量工具，而是变成了黑客的长期跳板。攻击者可以在设备里投递更多恶意程序、横向渗透内网、窃取配置与密钥，一台被拿下的服务器，会成为整个内网的突破口。

简单来说：很多僵尸网络是“用完即弃”，流量打完、节点被封就失去价值；FlyLegit是先拿下权限，想攻击时打DDoS，想渗透时就当跳板，价值周期更长。

三、感染规模与隐蔽特点

CNCERT联合绿盟科技的监测数据显示，FlyLegit在国内已经形成不小体量，监测周期内境内活跃肉鸡超2000台，单日最高上线肉鸡四百余台，大量无人值守的云服务器、厂区监控设备、小型企业网关中招。

它自带自更新机制，只要设备保持联网，木马就会主动拉取新版本。就算安全团队识别老版本特征，恶意程序也能自动更新绕过规则；加上C2节点持续轮换，单纯依靠IP黑名单封堵很难长效压制。很多中小站点运维只会在网站被打垮时才发现异常，却不知道服务器早已被留下后门，黑客随时可以再次接入、发起攻击。

四、和AI僵尸网络威胁形成叠加效应

FlyLegit本身就属于自动化运营的僵尸网络，如果搭配AI扫描、AI载荷生成工具，感染与重建速度还会进一步提升，和前面提到的AI自愈僵尸网络趋势形成呼应。

黑产可以用AI批量扫描全网弱口令与漏洞，快速补充FlyLegit的肉鸡池；就算一部分C2节点被安全厂商拿下，也能快速生成新通信链路、新木马变体，快速恢复集群战斗力。对于IDC服务商、域名服务商、中小站长而言，威胁不再只是一次性DDoS宕机，还暗藏服务器长期失陷、数据泄露的风险。

僵尸网络的演进方向很清晰：从单纯的流量工具，转向集攻击、跳板、驻留于一体的多功能基础设施。FlyLegit的持续活跃，提醒所有线上业务运营者，DDoS和服务器入侵防护必须同步落地，流量防护与主机安全缺一不可。