感谢绿盟科技伏影实验室在本报告的样本分析工作中做出的重要贡献。
一、概述
近期，国家互联网应急中心（CNCERT）监测发现一种隐蔽性极强的全新僵尸网络正在大范围传播，主要感染Linux服务器与IoT设备。其传播以漏洞利用为主，我们将其命名为VeilDHT，其中，DHT取自其藏身公共分布式网络的备用控制信道，其实际控制地址经DNS假IP应答与DHT混流双通道获取。
VeilDHT是一个功能体系完备、以隐蔽性为核心设计理念的全新僵尸网络家族，其开发者具备专业的密码工程素养，已对Linux服务器与IoT设备生态构成现实威胁。与多数将工程投入集中于攻击能力的僵尸网络不同，VeilDHT把主要精力放在隐蔽性上，功能也更为全面：配置以乱序密文存放，通信采用认证加密，心跳完全随机化，发现、阻断、解密和清理的难度都明显提升；功能上具备DDoS攻击、任意命令执行、交互式反向Shell及反向代理能力，一旦感染，受害主机便同时成为攻击源、隐蔽跳板和长期可控的资源。2026年10月16日至10月26日期间，CNCERT监测发现该僵尸网络感染的日上线肉鸡数最高达到15805台，累计已有40467台设备受其感染。现将其主要情况分析披露如下。
二、恶意样本分析
图 1 VeilDHT僵尸网络
1.传播方式
该木马主要通过漏洞利用实现扩散，目标以Linux服务器和各类IoT设备为主，当前观测到攻击者使用的漏洞如下：
CVE-2024-3912：ASUS路由器命令注入漏洞
CVE-2021-35394：Realtek Jungle SDK 命令注入漏洞
2.通信机制
C&C寻址机制是该家族最突出的特点，木马通过两条通道获取真实控制端地址，均以伪装为前提。一是经过加密编码的DNS应答，二是公共P2P网络。两条通道均对真实控制端地址进行了伪装，互为备份，控制面摆脱了对固定域名或IP的依赖，使其控制端得以长期隐藏，检测、封禁与追踪的难度较高。
图 2 VeilDHT获取控制ip方式示意图
VeilDHT通信保护贯穿握手、认证、指令传输全过程，其中使用了Ed25519、X25519、SHA-512、XChaCha20-Poly1305等加密算法。上线时，木马以内置验证公钥核验控制端签名，确认无误后才建立会话；其后发送的主机信息、心跳与指令全部在加密通道内传输。该体系严格遵循现代密码工程规范，远超僵尸网络常见的轻量混淆。只有在密钥交换阶段就完整掌握流量，事后截获的通信数据才有解密的可能。这套加密逻辑的完整和严谨程度在僵尸网络中并不多见，说明开发者具备专业的密码工程能力。
3.核心功能
VeilDHT僵尸网络具备覆盖UDP、TCP、GRE等协议的20种DDoS攻击、任意命令执行、交互式反向Shell及反向代理能力，控制端还可查询主机信息、控制主机重启并令木马自删除。DDoS攻击、命令执行、代理和管控等能力一应俱全，一旦被感染，受害主机便会同时成为攻击源、隐蔽跳板和长期可控的资源。
图 3 VeilDHT功能体系示意图
信息收集：VeilDHT会收集并上传受害主机的架构、主机名、内存、进程数等信息，为后续的横向移动或更有针对性的攻击提供信息基础。
命令执行：该家族具备命令执行功能，能够执行任意系统命令，并可重启主机、令木马自删除，威胁性因此显著提升；
反向Shell：能够建立交互式的反向Shell通道，对受害主机形成完全控制，可作为进一步攻击的立足点；
反向代理：能够转发网络流量，将受害主机用作攻击跳板，隐藏攻击者的真实来源；
DDoS攻击：支持20种攻击方式、覆盖多种协议，攻击指令可动态下发，实现对指定目标的精准打击。
4.对抗与规避检测
除上述功能外，木马在通信、心跳、配置存储、进程运行等方面均进行了专门的隐蔽处理，并支持版本的滚动更新，整体上分析、阻断和清理的难度较高。
通信：木马与控制端之间的通信全程加密，攻击指令与回传数据均以密文形式传输，且其加密设计使得其通信流量即使被中途截获也难以还原，通信隐蔽性强。
心跳：木马的心跳采用随机化机制，周期与内容均呈随机特征，规避了基于固定规律的流量检测。
配置存储：木马的配置信息以密文形式存放，并打乱存储顺序，静态分析难以按序还原完整的配置内容。
版本的滚动更新：木马支持版本的滚动更新，可在受害主机上自动完成升级，使控制端能够持续推送新版本、长期掌控受控节点。
字数有限：详细来源可见国家互联网应急中心CNCERT
一、概述
近期，国家互联网应急中心（CNCERT）监测发现一种隐蔽性极强的全新僵尸网络正在大范围传播，主要感染Linux服务器与IoT设备。其传播以漏洞利用为主，我们将其命名为VeilDHT，其中，DHT取自其藏身公共分布式网络的备用控制信道，其实际控制地址经DNS假IP应答与DHT混流双通道获取。
VeilDHT是一个功能体系完备、以隐蔽性为核心设计理念的全新僵尸网络家族，其开发者具备专业的密码工程素养，已对Linux服务器与IoT设备生态构成现实威胁。与多数将工程投入集中于攻击能力的僵尸网络不同，VeilDHT把主要精力放在隐蔽性上，功能也更为全面：配置以乱序密文存放，通信采用认证加密，心跳完全随机化，发现、阻断、解密和清理的难度都明显提升；功能上具备DDoS攻击、任意命令执行、交互式反向Shell及反向代理能力，一旦感染，受害主机便同时成为攻击源、隐蔽跳板和长期可控的资源。2026年10月16日至10月26日期间，CNCERT监测发现该僵尸网络感染的日上线肉鸡数最高达到15805台，累计已有40467台设备受其感染。现将其主要情况分析披露如下。
二、恶意样本分析
图 1 VeilDHT僵尸网络
1.传播方式
该木马主要通过漏洞利用实现扩散，目标以Linux服务器和各类IoT设备为主，当前观测到攻击者使用的漏洞如下：
CVE-2024-3912：ASUS路由器命令注入漏洞
CVE-2021-35394：Realtek Jungle SDK 命令注入漏洞
2.通信机制
C&C寻址机制是该家族最突出的特点，木马通过两条通道获取真实控制端地址，均以伪装为前提。一是经过加密编码的DNS应答，二是公共P2P网络。两条通道均对真实控制端地址进行了伪装，互为备份，控制面摆脱了对固定域名或IP的依赖，使其控制端得以长期隐藏，检测、封禁与追踪的难度较高。
图 2 VeilDHT获取控制ip方式示意图
VeilDHT通信保护贯穿握手、认证、指令传输全过程，其中使用了Ed25519、X25519、SHA-512、XChaCha20-Poly1305等加密算法。上线时，木马以内置验证公钥核验控制端签名，确认无误后才建立会话；其后发送的主机信息、心跳与指令全部在加密通道内传输。该体系严格遵循现代密码工程规范，远超僵尸网络常见的轻量混淆。只有在密钥交换阶段就完整掌握流量，事后截获的通信数据才有解密的可能。这套加密逻辑的完整和严谨程度在僵尸网络中并不多见，说明开发者具备专业的密码工程能力。
3.核心功能
VeilDHT僵尸网络具备覆盖UDP、TCP、GRE等协议的20种DDoS攻击、任意命令执行、交互式反向Shell及反向代理能力，控制端还可查询主机信息、控制主机重启并令木马自删除。DDoS攻击、命令执行、代理和管控等能力一应俱全，一旦被感染，受害主机便会同时成为攻击源、隐蔽跳板和长期可控的资源。
图 3 VeilDHT功能体系示意图
信息收集：VeilDHT会收集并上传受害主机的架构、主机名、内存、进程数等信息，为后续的横向移动或更有针对性的攻击提供信息基础。
命令执行：该家族具备命令执行功能，能够执行任意系统命令，并可重启主机、令木马自删除，威胁性因此显著提升；
反向Shell：能够建立交互式的反向Shell通道，对受害主机形成完全控制，可作为进一步攻击的立足点；
反向代理：能够转发网络流量，将受害主机用作攻击跳板，隐藏攻击者的真实来源；
DDoS攻击：支持20种攻击方式、覆盖多种协议，攻击指令可动态下发，实现对指定目标的精准打击。
4.对抗与规避检测
除上述功能外，木马在通信、心跳、配置存储、进程运行等方面均进行了专门的隐蔽处理，并支持版本的滚动更新，整体上分析、阻断和清理的难度较高。
通信：木马与控制端之间的通信全程加密，攻击指令与回传数据均以密文形式传输，且其加密设计使得其通信流量即使被中途截获也难以还原，通信隐蔽性强。
心跳：木马的心跳采用随机化机制，周期与内容均呈随机特征，规避了基于固定规律的流量检测。
配置存储：木马的配置信息以密文形式存放，并打乱存储顺序，静态分析难以按序还原完整的配置内容。
版本的滚动更新：木马支持版本的滚动更新，可在受害主机上自动完成升级，使控制端能够持续推送新版本、长期掌控受控节点。
字数有限：详细来源可见国家互联网应急中心CNCERT
