安全厂商披露新型Kairos僵尸网络，针对Linux服务器发起TCP连接耗尽DDoS

DDoS攻击正在跳出带宽竞赛的固有思路，低流量、高连接型攻击逐步成为黑产新的偏好。近期安全厂商NozomiNetworksLabs对外披露了一款全新的Go语言僵尸网络Kairos，专门瞄准Linux服务器、嵌入式设备发起TCP连接耗尽攻击。和传统SYN洪水、UDP泛洪不同，Kairos攻击流量极小，依靠大量真实保活TCP会话占满服务器连接上限，极易绕过常规流量清洗设备，对裸金属、中小IDC、跨境独立站等Linux业务构成隐蔽威胁。

一、Kairos攻击原理：不靠大带宽，用长连接耗尽资源

传统DDoS大多以打满上行带宽为目标，而Kairos的核心打法是TCP连接耗尽，属于完全握手的真实连接攻击。该僵尸网络采用Go开发，跨架构适配AMD64、ARM、MIPS等主流Linux硬件，适配服务器、路由器、工控嵌入式设备等多种载体。

被感染节点会按照CPU核心启动大量工作线程，每核分配128个worker，最低保底256个并发连接任务；16核肉鸡单台即可向外建立2048条TCP连接。它完成标准三次握手之后，每隔5秒发送一个空格字符维持Socket会话，持续占用服务器连接表；当连接失败时，每100毫秒就会重试，快速形成连接风暴。这类攻击报文体积很小，带宽占用很低，很多只监控流量阈值的清洗系统很难识别，等到业务卡顿、无法接入新用户时，运维才会发现异常。

二、传播方式：利用Telnet弱口令入侵，伪装成内核进程躲避排查

Kairos的入侵方式并不依赖高危漏洞，主要依靠暴露在公网、无密码或者弱口令的Telnet服务，攻击者直接尝试root空密码登录，植入恶意程序，和Mirai家族的入侵路径高度相似。

恶意程序启动后会修改进程名称伪装成内核线程`kworker/0:1`，降低被运维人员一眼识别的概率。它的控制指令非常精简，C2仅下发启动攻击、暂停攻击、恢复攻击三条指令，结构轻量化，分析门槛低。同时该木马本身不具备开机自启、自动横向扩散能力，功能单一，只专注于TCP连接耗尽攻击，属于定向攻击工具，而非广谱蠕虫，这也让它在早期更容易被忽略。

三、防护难点：传统四层清洗方案对真实TCP连接攻击失效

很多IDC和运维团队的防护体系，是基于SYN泛洪、UDP反射洪水设计，擅长拦截伪造源IP的畸形报文。但Kairos所有连接都是完整三次握手，源IP全部真实，流量特征和正常用户访问高度接近，很容易穿过流量清洗关口直达业务。

它攻击的不是带宽，而是系统文件描述符、Nginx连接池、应用层最大并发连接数。就算带宽空闲，只要连接数打满，新的正常访问请求直接排队失败。如果同时叠加CC、SYN混合攻击，多层压力叠加，防护设备的分层检测机制更容易错乱，误封、漏判概率大幅上升，尤其对于没有行为风控联动的中小IDC，处置压力极大。

四、针对性防御方案：基线监控+连接管控+闭环封禁

面对Kairos这类低流量连接耗尽攻击，单纯扩容带宽无法解决问题，需要从系统、应用、风控三层加固。首先，基础侧关停公网Telnet服务，修改远程管理账号密码，关闭不必要的管理端口，杜绝肉鸡被批量收编；其次，调整Linux系统、Nginx、Web服务的连接参数，配置连接超时回收策略，缩短空闲连接释放时间，避免连接被长期占用。

防护平台上，要跳出单纯带宽告警，增加并发连接数、新建连接速率、单IP连接数的监控基线，接入行为风控模块，对短时间大量新建连接、长时间空闲无业务数据的会话进行标记。联动自动封禁接口，对异常IP做时效封禁，配合日志留存，方便事后溯源。同时定期巡检服务器进程，排查伪装成kworker的异常程序，及时清除肉鸡节点，避免自身服务器沦为攻击节点。

Kairos的曝光，代表DDoS攻击正在转向“轻量化、隐蔽化、资源耗尽”路线。在带宽清洗普及的背景下，黑产开始挖掘协议层、应用层连接资源的短板。对于大量使用Linux裸金属的IDC、跨境业务运维来说，连接数监控、会话风控、异常IP自动封禁，已经和带宽清洗同等重要，补齐这一环，才能应对越来越多变的新型DDoS威胁。