关于新型僵尸网络VeilDHT大范围传播的风险提示
内容提要
CNCERT发现新型僵尸网络VeilDHT，主要感染Linux服务器和IoT设备，通过ASUS路由器、Realtek SDK等漏洞传播。该网络以隐蔽性为核心，通过加密DNS应答和公共P2P网络双通道获取控制地址，通信采用Ed25519等强加密，心跳随机化，配置以乱序密文存储，并支持滚动更新。具备20种DDoS攻击、命令执行、反向Shell和反向代理功能。2026年10月16日至26日境内感染约40467台，日上线最高15805台。建议修复漏洞、强化口令、监测IOC并及时隔离清理。
延伸解读
双通道寻址：控制端更难被封堵
VeilDHT通过加密DNS应答和公共P2P网络两条通道获取真实控制端地址，且均对地址进行伪装。这意味着传统依赖固定域名或IP的封堵手段效果有限，攻击者可长期隐藏控制端。防御方需同时监测DNS解析请求和P2P网络连接，并注意文中指出所列域名的当前解析结果为伪装IP，真实控制端应以IoC中的IP为准。
强加密与随机化：检测和取证门槛提高
该僵尸网络在通信中采用Ed25519、X25519、SHA-512、XChaCha20-Poly1305等算法，上线时核验控制端签名，后续指令与数据全程加密；心跳周期和内容随机化，配置以乱序密文存储。这些设计使基于固定流量特征的检测和事后解密分析变得困难，安全团队需更关注异常外连行为而非仅依赖内容匹配。
感染规模与设备角色：受控主机成多重资源
2026年10月16日至26日，境内感染约40467台，日上线最高15805台，显示该网络正处于传播扩张期。受控的Linux服务器和IoT设备不仅作为DDoS攻击源，还可被用于命令执行、反向Shell和反向代理，成为隐蔽跳板。这意味着单台设备失陷可能带来横向移动和长期控制风险，资产清单梳理和漏洞修复需覆盖历史漏洞与最新曝光漏洞。
清理难点：滚动更新与自删除能力
VeilDHT支持版本滚动更新，可在受害主机上自动升级，控制端能持续推送新版本以长期掌控节点；同时具备令木马自删除的能力。这增加了清除后复发和取证难度。发现感染后，仅删除恶意文件可能不足，需结合异常进程、异常外连和IOC监测进行排查，并隔离受害主机、核实入侵途径，及时向属地主管部门报告。
Q&A
VeilDHT僵尸网络主要感染哪些设备？
主要感染Linux服务器和各类IoT设备。
VeilDHT是如何获取控制端地址的？
通过两条伪装通道获取真实控制端地址：一是经过加密编码的DNS应答，二是公共P2P网络（DHT）。两条通道互为备份，且都对真实地址进行了伪装。
VeilDHT使用了哪些加密算法来保护通信？
使用了Ed25519、X25519、SHA-512、XChaCha20-Poly1305等加密算法，通信保护贯穿握手、认证和指令传输全过程。
VeilDHT具备哪些攻击功能？
具备覆盖UDP、TCP、GRE等协议的20种DDoS攻击、任意命令执行、交互式反向Shell及反向代理能力，控制端还可查询主机信息、控制重启和令木马自删除。
VeilDHT的感染规模有多大？
2026年10月16日至26日期间，我国境内感染肉鸡约40467台，日上线肉鸡数量最高达15805台。
如何防范VeilDHT僵尸网络？
建议：及时修复系统漏洞（包括历史漏洞和最新漏洞），IoT设备升级固件；加强口令强度（16位以上复杂密码，不同设备不同口令并定期更换）；不打开来历不明链接，不安装来源不明软件；安装终端防护软件并定期查杀；网络运营者监测IOC的域名解析和IP连接，发现异常及时阻断并留存证据；发现感染立即隔离清理并报告。
