Mirai僵尸网络卷土重来：2024年物联网DDoS攻击新趋势

近期趋势

自2023年下半年以来，安全社区观察到多个基于Mirai源码变种的物联网僵尸网络家族活跃度显著上升。与早期版本相比，新变种在命令与控制（C2）通信、漏洞利用链和DDoS攻击手法上均出现明显迭代。例如，部分变种开始利用未修补的弱口令组合，批量感染路由器、网络摄像头和智能网关；同时针对Telnet、SSH等默认端口进行大规模扫描。

攻击规模方面，近期多个云防护厂商报告了单次攻击流量超过1Tbps的DDoS事件，攻击向量已从传统的ICMP Flood、SYN Flood演进至更难以过滤的TCP反射放大与HTTP/2慢速攻击组合。值得关注的是，攻击目标的选取也在泛化：从过去针对游戏行业或安全测试靶场，转向金融、电商甚至中小型托管服务商。

行业背景

物联网设备出货量在2024年持续增长，大量低制造成本、弱安全配置的设备进入家庭与企业网络。许多设备厂商出厂时仍保留默认管理员口令或关闭固件更新通道，为攻击者提供稳定的感染池。与此同时，Mirai源码早已开源，攻击社区形成了成熟的“扫描-感染-榨取”链条，甚至出现租赁型僵尸网络服务，进一步降低了攻击门槛。

网络运营商和云服务商虽然普遍部署了流量清洗与BGP黑路由策略，但攻击者通过频繁更换源IP、混合多种协议的方式尝试绕过检测。部分地区的IoT设备因为缺乏集中管理平台，甚至在被感染后长期不被发现，成为持续的攻击资源。

用户关注点

• 设备暴露风险：接入公网的摄像头、路由器、NAS等设备若未修改默认密码或关闭远程管理端口，极易被纳入僵尸网络。
• 攻击对业务的影响：对依赖在线服务的中小企业而言，即使攻击流量未超过清洗阈值，也可能导致应用层响应延迟或会话中断。
• 识别与防御手段：用户可通过流量监控工具关注异常的出站连接，例如大量指向非标准端口的SYN包；同时建议关闭UPnP、禁用Telnet，并使用强密码+密钥认证。
• 固件更新意识：许多老旧设备厂商已停止支持，用户需要评估是否继续保留这些设备，或者将其隔离在独立VLAN中。

可能影响

短期内，Mirai变种驱动的物联网DDoS攻击将保持高强度，尤其会在重大促销活动或政治敏感时期集中爆发。从中期看，攻击者可能将僵尸网络改造为“混合用途”——既用于DDoS，也用于代理跳板或挖矿，从而延长感染后的获利周期。对于行业生态，缺乏安全认证的物联网设备更容易被定向利用，这将倒逼更多国家出台物联网安全基线标准，比如强制出厂密码修改机制、固件签名验证等。

对网络基础设施而言，如果攻击流量持续放大且攻击向量异构，现有以容量扩容为核心的抗D方案可能面临效率瓶颈，需要引入行为分析、机器学习识别异常流量模式。企业级用户则需重新评估自己的互联网暴露面，将关键业务流量通过CDN或专线实现隔离。

后续观察

建议关注以下方向：一是新变种是否会利用5G网络切片或边缘计算节点的漏洞升级感染方式；二是攻击者是否会针对智能家居中枢（如智能音箱、网关）进行横向渗透，扩大控制规模；三是各国监管机构是否会推动物联网设备出厂安全认证的立法进程，以及云服务商之间的协同清洗机制是否进一步成熟。普通用户可定期查阅设备厂商或行业安全公告，及时封堵暴露端口，并将不必要的外网访问权限收回。