CNCERT持续预警FlyLegit僵尸网络：批量控制IoT与Linux设备，沦为DDoS攻击肉鸡

国家互联网应急中心CNCERT持续发布风险预警，新型僵尸网络家族FlyLegit活跃态势不减，定向扫描入侵Linux服务器、路由器、摄像头等IoT物联网设备，被控主机将被黑产收编为肉鸡集群，随时可以下发指令发起大规模DDoS攻击。该团伙依托Telegram渠道接单运营，变种迭代快、适配硬件架构广，成为近期中小机房、物联网项目重点防范的网络威胁。

一、攻击传播链路：弱口令+老旧漏洞，批量拿下设备权限

FlyLegit的主要入侵手段分为两类，一是Telnet弱口令暴力扫描爆破，二是利用IoT设备已知高危漏洞，典型如Realtek相关漏洞CVE-2018-10561，门槛低、适合全网批量扫描投放。

木马样本命名存在明显特征，一般以iran搭配架构后缀，下载脚本常命名为cat.sh，上线后自动识别硬件架构，支持x86、x64、ARM、MIPS、MIPSEL等7种主流架构，覆盖绝大多数服务器与物联网硬件，适配性极强。攻击者持续轮换下马地址与C2控制节点，平均每周更新下载链接，月均更换多个C2节点，对抗溯源和封禁，隐蔽性大幅提升。一旦设备被拿下，恶意程序会配置持久化驻留机制，即便设备重启，依旧能够自动连接主控端，等待指令。

二、威胁能力不止DDoS：支持Shell回连，可二次投递恶意载荷

和传统只做流量攻击的僵尸网络不同，FlyLegit属于多功能攻击平台，DDoS只是最基础的变现能力。被控肉鸡除了向外发起流量攻击、打瘫目标网站与服务器，还自带正向、反向Shell能力，攻击者可以直接远程登录被控主机，查看、篡改服务器内数据。

这也意味着，IoT设备和Linux服务器一旦沦陷，风险不止是被动参与攻击。黑产可把该节点当成跳板，横向渗透内网，继续投递挖矿木马、后门、勒索程序，一机多用。黑产团伙通过Telegram群组对外接单售卖DDoS攻击服务，FlyLegit就是他们手中的攻击资源池，肉鸡规模随扫描感染持续扩张。监测数据显示，国内已经出现多批活跃上线肉鸡，无人值守的边缘设备、裸奔服务器是重灾区。

三、高危目标画像：哪些设备最容易中招

首当其冲的是各类物联网设备：家用与企业路由器、网络摄像头、NVR存储、工业边缘网关，这类设备普遍存在固件长期不更新、默认密码不改、Telnet端口对外开放的通病。其次是中小站长、独立开发者使用的LinuxVPS、轻量云主机，很多运维人员习惯设置简单SSH/Telnet密码，没有配置访问白名单，直接暴露在公网，极易被扫描命中。

这类设备大多缺少常态化安全巡检，很多是7×24小时在线、长期无人登录查看，感染之后很难第一时间发现。等到肉鸡集群被调用发起DDoS，服务器带宽跑满、业务卡顿，管理员才察觉异常，此时已经沦为黑产工具，还可能连带自身IP被安全厂商拉黑。

四、防护处置方案，运维与物联网管理者可落地执行

针对FlyLegit的攻击特征，CNCERT给出明确处置思路。第一，关闭不必要的远程管理端口，公网环境尽量禁用Telnet服务，SSH启用密钥登录，杜绝弱口令，设置IP白名单限制访问源；第二，IoT设备尽快升级官方固件，修改默认账号密码，关闭外网直接访问管理面板；第三，定期排查服务器定时任务、异常进程，留意名称为iran、cat.sh这类可疑文件，一旦发现立即隔离查杀；第四，部署流量监测、入侵告警，发现主机向外大量外发异常流量，及时断网排查。

如果确认设备已经被感染，简单删除木马文件并不足够，需要全盘清理后门、重置密码、加固权限，避免C2再次下发载荷重新上线。