VeilDHT加密僵尸网络曝光：双通道隐匿管控，覆盖20余种DDoS攻击向量

CNCERT与安全厂商联合披露新型僵尸网络VeilDHT，该家族最大亮点是采用DHT分布式P2P+加密DNS双通道C&C通信，全链路高强度加密，隐蔽性远超传统IoT僵尸网络。它支持20余种DDoS攻击向量，覆盖TCP、UDP、GRE等多协议，同时附带反弹Shell、命令执行、反向代理等能力，短期之内已经感染境内四万余台Linux服务器与物联网设备，成为近期重点监控的高危威胁。

一、技术核心：DHT双通道+加密通信，溯源封禁难度陡增

绝大多数僵尸网络依赖固定IP、域名作为控制节点，防护人员通过封禁地址即可切断通信。VeilDHT彻底抛弃这种模式，采用双备份寻址机制：一条通道依靠加密DNS应答获取控制地址，另一条藏身公共DHT分布式网络，两条链路互为兜底，一条被封堵，另一条可继续接收指令，很难一次性彻底切断控制链路。

通信层面，木马全程使用Ed25519、X25519、XChaCha20-Poly1305等密码套件完成握手、签名校验与载荷加密，心跳包随机化、配置密文存储。即便安全人员抓包拿到流量，若无对应密钥，也很难解析指令内容，传统流量特征识别方案很容易失效，免杀和隐匿能力突出，背后开发者具备成熟的密码工程能力。

二、攻击能力：20余种攻击向量，复合型打击手段齐全

VeilDHT内置20余种DDoS攻击方式，兼顾网络层、传输层多种洪水攻击，覆盖UDP洪水、TCPSYN洪水、ACK洪水、GRE隧道攻击以及各类反射放大攻击，攻击者可以根据目标防护策略灵活切换攻击向量，单点、混合向量攻击都能一键下发。

它不只是单纯的DDoS肉鸡集群，还是一套完整的远程控制工具。被控主机上线后，攻击者可下发任意系统命令、拉起交互式反向Shell，还可作为流量代理跳板，对内网横向渗透、扫描探测。木马自带自删除、自升级机制，可根据指令清理自身痕迹，给事后排查处置增加阻力。和以往功能单一的IoT僵尸网络相比，VeilDHT一机多用，黑产收益模型更加丰富。

三、传播路径与高危目标：漏洞利用为主，IoT与轻量云服务器为重灾区

VeilDHT主要依靠公开漏洞批量扫描传播，当前监测重点是RealtekJungleSDK命令注入漏洞CVE-2021-35394、华硕路由器命令注入漏洞CVE-2024-3912，同时搭配弱口令爆破作为补充手段，优先瞄准无人值守设备。

受害设备分为两大类：第一类是路由器、摄像头、NVR、边缘网关等IoT设备，这类设备固件长期不更新、默认密码不改、管理端口直接暴露公网；第二类是中小站长、开发者使用的Linux轻量VPS，很多服务器缺少基线加固、未开启访问白名单，极易被扫描命中。监测数据显示，短短十天内境内累计感染设备超4万台，单日最高上线肉鸡接近1.6万台，处于快速扩张周期。

四、感染处置方案：从排查、查杀到加固落地指引

运维与设备管理员可以按照分层思路处置。首先，资产梳理，对公网暴露的Linux主机、IoT设备做端口扫描，关闭不必要的Telnet、SSH、管理面板外网访问；其次，漏洞修复，尽快升级路由器、物联网设备固件，修补已知注入漏洞，重置默认账号密码，启用密钥登录、IP白名单；感染排查上，重点检查异常定时任务、陌生ELF进程、对外异常外联流量，一旦发现VeilDHT样本，不能只简单删除程序，需要清理持久化后门、重置全部账号密码，必要时直接重装系统；流量侧，在边界设备上监测异常P2P、非常规DNS查询行为，及时上报威胁平台。