文章总结： CNCERT与绿盟科技联合监测发现新型僵尸网络FlyLegit持续针对Linux服务器及IoT设备传播，利用Telnet弱口令及Realtek漏洞（如CVE-2018-10561）进行感染，具备DDoS攻击、自更新及Shell控制能力。截至2026年9月境内活跃肉鸡约2015台。建议关闭非必要远程接口、修改强口令、修复漏洞并加强异常流量监测以防范风险。
综合评分： 92
文章分类： 僵尸网络,漏洞分析,威胁情报,应急响应,安全运营

关于新型僵尸网络FlyLegit大范围传播的风险提示

原创

CNCERT
CNCERT

国家互联网应急中心CNCERT

2026年9月28日 17:32
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

本报告由国家互联网应急中心（CNCERT）与绿盟科技集团股份有限公司共同发布。

一、概述

近期，CNCERT与绿盟科技集团股份有限公司联合监测发现，新型僵尸网络家族FlyLegit持续针对Linux服务器及IoT设备开展传播，远程控制相关设备发起DDoS攻击。该家族自2025年末进入监测视野后持续更迭版本，已对相关设备构成较大安全威胁。

FlyLegit名称源自攻击者建立的Telegram群组t.me/flylegit。攻击者通过Telegram群组进行宣传推广，吸引潜在客户或使用者。与主要用于DDoS攻击的传统僵尸网络相比，FlyLegit除支持多种DDoS攻击外，还具备程序自更新、正向Shell和反向Shell等功能，可将受感染设备作为后续攻击的立足点，并根据需要投递其他恶意组件。

截至目前，已累计捕获68个下马地址、900个用于下载不同架构木马的URL链接，覆盖X86、x64、arm、mips、mipsel、sh4、ppc等7种架构，对应40个C2节点，攻击者月均更换约5个C2节点。2026年9月3日至8日期间，该僵尸网络在我国境内已确认的活跃“肉鸡”规模约2015台，境内日上线肉鸡数量最高达427台。

二、僵尸网络分析

（一）传播方式与基础设施

1.传播与投递

FlyLegit僵尸网络主要通过Telnet弱口令扫描及漏洞利用（如Realtek CVE-2018-10561等）两类手段进行传播。落地木马文件统一以iran加架构标识命名，如iran.x86_64；下载脚本多命名为cat.sh。

下载脚本内置x86_64、mips、arm等多架构适配逻辑，通过wget或curl自动下载对应架构的木马至受害主机。木马执行时需附加运行参数，曾使用的参数包括telnet、catloader、””、$@、”$@”及Default（无参运行），这些参数后期被用于构建上线包。

图1 FlyLegit僵尸网络能力与攻击链

2.传播节点

自2025年12月底以来，累计捕获68个下马地址、900个用于下载不同架构木马的URL链接。攻击者约每隔一周更换一次下马地址，传播文件多采用iran加架构标识的统一命名方式。现有监测数据反映，攻击者仍在持续维护和扩充该僵尸网络。

图2 FlyLegit每月新增下马地址

3.C2分布

2025年12月底至今，累计捕获FlyLegit僵尸网络40个C2节点。这些节点分布于德国、荷兰、法国等近10个国家，其中德国和荷兰占比分别为43%和28%。攻击者C2更换较为频繁，月均更换约5个节点；更换后倾向于复用原有端口，7080、8060、7777等端口被多次使用。运营基础设施大量选用欧洲中小型主机服务商。

图3 FlyLegit C2地理位置分布

（二）样本技战术特点

1.版本更迭

不同时期，FlyLegit所能处理的控制指令有所不同。初始版本支持6种DDoS攻击方式；2026年1月至6月期间，部分版本缩减了控制指令和攻击方式；2026年7月起，样本重新增加多种DDoS攻击指令，并加入Telnet扫描和Realtek相关漏洞扫描功能。除ping指令外，控制指令演变情况如下：

| | | | | |
| — | — | — | — | — |
| 时期 | 版本 | 常规控制指令 | DDoS指令 | 扫描指令 |
| 2025.12-2026.01 | V1 | kill,stop, update | tcp flood, syn flood, http flood,udp flood, udpplain flood,icmp flood | 无 |
| 2026.01-2026.04 | V2 | kill, stop | syn flood,udpplain flood | 无 |
| 2026.05-2026.06 | V3 | kill, stop | syn flood, udpplain flood | 无 |
| 2026.07-2026.08 | V4 | kill,stop, update | tcp flood, syn flood, http flood,udp flood, udpplain flood,icmp flood, gre flood | selfrep telnet,selfrep realtek |

2.驻留与对抗

FlyLegit通过/etc/init.d、/etc/rc.local等方式实现持久化，确保系统重启后自动恢复；同时清除竞争对手进程，以独占受控主机资源。早期部分版本采用ChaCha20算法对C2通信内容进行加密，最新版本已改为明文通信。

3.通信机制与命令控制体系

FlyLegit命令控制体系主要包含上线认证、心跳应答和指令下发三个环节。上线包格式为<架构名称> ，其中group字段用于区分不同活动批次，默认值为default；如果启动脚本传入参数，木马会将该参数写入group字段。

该家族通过ping-pong命令实现心跳响应：攻击者下发ping指令，木马回复pong并携带主机架构信息。C2指令采用字符串形式和key=value格式，支持配置攻击报文大小、源IP地址及端口等参数。部分版本的C2指令通过ChaCha20加密传输，木马内置初始密钥，下发数据开头包含解密所需的nonce参数。

4.核心攻击能力

FlyLegit的核心攻击能力包括程序自更新、DDoS攻击及Shell命令执行。!update指令用于木马自更新：木马连接内置的硬编码IP和端口，发送HTTP GET请求下载新版木马，优先保存至/tmp/目录；若该目录不可写，则依次尝试/var/、/dev/shm/及当前目录，下载完成后设置执行权限。

攻击者可通过指令控制木马在指定时间段内向目标发送攻击载荷，已发现的DDoS攻击指令如下：

该家族还支持正向Shell和反向Shell，可获取被控主机远程Shell访问权限并执行命令：

| | |
| — | — |
| 指令 | 说明 |
| !openshell | 正向Shell，在被控主机监听指定端口，以口令作为准入凭据，攻击者可远程执行Shell命令 |
| !shellcmd | 反向Shell，执行攻击者下发的Shell命令 |

三、僵尸网络感染规模

通过监测分析发现，2026年9月3日至8日期间，FlyLegit僵尸网络在我国境内已确认的活跃“肉鸡”规模约2015台，境内日上线肉鸡数量最高为427台。

图4 境内日上线肉鸡数量分布情况

四、防范建议

请广大网民强化风险意识，加强安全防范，避免不必要的经济损失，主要建议包括：

（1）关闭不必要的Telnet、SSH及设备远程管理接口，禁止将管理端口直接暴露在公网；

（2）修改设备默认口令，使用强口令，并避免多台设备共用同一密码；

（3）排查并修复报告涉及的漏洞，及时升级设备固件和Linux系统组件；

（4）在网络侧监测异常扫描、下马请求、C2连接和异常DDoS流量；

（5）发现感染后立即隔离设备，保留必要日志和样本，核查入侵入口，完成漏洞修复和凭据更换后再恢复业务；

（6）对无法安装终端防护软件的IoT设备，通过访问控制、网络分区和出口限制降低风险。

五、相关IOC

（一）C2

| | | | |
| — | — | — | — |
| C2 | C2 | C2 | C2 |
| 165.22.247.105:2220 | 176.65.139.35:7080 | 85.11.167.182:5855 | 83.168.110.191:1336 |
| 38.60.216.39:13322 | 94.249.228.212:6767 | 176.65.139.67:17692 | 192.109.200.199:23 |
| 174.138.43.79:6060 | 45.156.87.176:7080 | 134.199.219.57:6060 | 140.233.190.82:6221 |
| 176.65.139.18:7000 | 130.12.180.85:7080 | 34.107.120.7:1150 | 45.153.34.77:6000 |
| 64.89.161.81:6667 | 31.56.120.29:7080 | 130.12.180.80:7080 | 87.121.84.11:7080 |
| 45.153.34.195:7080 | 36.255.97.23:7777 | 167.86.99.169:8060 | 31.77.227.119:8060 |
| 165.22.69.214:3131 | 94.154.43.88:8060 | 195.201.123.9:8060 | 103.83.87.122:8060 |
| 176.65.139.51:7080 | 94.26.106.236:777 | 176.65.139.121:7080 | 82.25.63.213:7080 |
| 31.56.209.72:621 | 176.65.139.196:621 | 176.65.139.161:25596 | 176.65.139.7:1337 |
| 176.65.139.45:6060 | 176.65.139.36:5555 | 82.26.74.181:7080 | 176.65.139.61:5090 |

（二）Hash

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：国家互联网应急中心CNCERT CNCERT
CNCERT《关于新型僵尸网络FlyLegit大范围传播的风险提示》

Tags: 威胁情报安全运营应急响应漏洞分析

你可能错过

奇安信两大产品入选2026 AI+安全创新实践案例集

关于举办2026年“黄鹤杯”网络安全人才创新大赛决赛的通知

【教程】开源情报-社交媒体、地理位置与图像

[工具推荐]历年大赛WriteUp合集-离线在线AI大模型RAG知识库必备-CTF知识库-Des-CTF-Knowledge