2026 年 IoT 安全警报：Mirai 新变种 Nexcorium 攻击链全解析与企业排查指南

一、事件概述沉寂的IoT设备正在成为网络战的隐形军火库2026年4月18日全球网络安全界再次拉响警报。Fortinet FortiGuard Labs与Palo Alto Networks Unit 42联合披露一款名为Nexcorium的新型Mirai变种正在全球范围内大规模传播其主要攻击目标为TBK品牌的DVR数字录像机以及已停止官方支持的TP-Link Wi-Fi路由器。这不是一次孤立的攻击事件而是Mirai家族长达十年进化史的最新篇章。自2016年Mirai源代码泄露以来这个开源的IoT僵尸网络框架已经衍生出上百个变种累计感染了数千万台物联网设备发动了无数次足以瘫痪互联网局部的大规模DDoS攻击。此次Nexcorium的出现之所以引发高度关注不仅因为它利用了2024年才被披露的CVE-2024-3721漏洞更因为它展现出了现代IoT僵尸网络的典型特征多漏洞组合利用、多架构支持、多种持久化机制、以及极强的横向传播能力。二、深度解析Nexcorium的技术架构与攻击能力2.1 核心漏洞利用CVE-2024-3721的致命缺陷Nexcorium的主要传播途径是利用CVE-2024-3721CVSS评分6.3这一中等严重程度的命令注入漏洞。该漏洞影响TBK DVR-4104和DVR-4216两款主流数字视频录像机允许未经身份验证的远程攻击者通过精心构造的HTTP请求在目标设备上执行任意系统命令。尽管CVSS评分仅为中等但在实际攻击中这个漏洞的危害被无限放大。原因在于TBK DVR设备广泛部署在全球各地的家庭、商铺、工厂和政府机构中数量庞大且分布分散绝大多数设备长期运行在公网上且未设置任何访问控制用户普遍缺乏安全意识很少主动检查和更新DVR设备的固件厂商的安全响应速度缓慢漏洞披露后很长时间才发布补丁且很多用户根本不知道需要更新2.2 完整攻击链拆解Nexcorium的攻击过程设计得极为精密形成了一个闭环的感染循环初始访问攻击者通过自动化扫描工具在互联网上寻找暴露公网的TBK DVR设备然后利用CVE-2024-3721漏洞注入恶意命令下载器部署成功注入后攻击者会在目标设备上下载并执行一个轻量级的Shell脚本下载器架构适配下载器会自动检测目标设备的CPU架构x86、ARM、MIPS等然后从远程服务器下载对应版本的Nexcorium主程序恶意执行主程序运行后会在终端显示nexuscorp has taken control的提示信息标志着设备已被完全控制横向传播Nexcorium会立即开始扫描同一网络内的其他设备利用两种方式扩大感染范围利用CVE-2017-17215漏洞攻击华为HG532系列路由器使用内置的硬编码用户名密码字典通过Telnet协议进行暴力破解持久化建立一旦成功入侵新设备恶意软件会通过crontab定时任务和systemd服务两种方式建立持久化确保设备重启后仍能被控制痕迹清除为了逃避安全分析和检测Nexcorium会删除原始下载的二进制文件并清理系统日志命令接收被感染的设备会连接到攻击者的CC服务器等待指令执行UDP、TCP和SMTP等多种类型的DDoS攻击2.3 技术特性继承与创新Nexcorium在架构上与经典的Mirai保持了高度的相似性但也加入了一些新的特性特性描述XOR编码配置表所有配置信息包括CC服务器地址、攻击参数等都使用XOR算法进行编码防止被静态分析工具提取看门狗模块实时监控恶意进程的运行状态一旦发现进程被终止会立即重新启动多架构支持兼容x86、ARM、MIPS等多种主流IoT设备架构能够感染几乎所有类型的Linux嵌入式设备模块化DDoS引擎支持UDP洪水、TCP SYN洪水、SMTP洪水等多种攻击方式可根据目标类型灵活调整自我销毁机制在特定条件下如检测到分析环境会自动删除自身所有文件不留痕迹三、历史回溯Mirai家族的十年进化之路要理解Nexcorium的威胁我们必须回顾Mirai家族的发展历程。2016年一名化名为Anna-senpai的黑客发布了Mirai的源代码从此开启了IoT僵尸网络的黄金时代。2016年原始Mirai诞生利用默认密码暴力破解感染了数十万台摄像头和路由器发动了针对Dyn DNS的史诗级DDoS攻击导致半个美国互联网瘫痪2017-2019年Mirai变种爆发期出现了Okiru、Satori、Miori等多个著名变种开始利用已知漏洞进行传播攻击能力大幅提升2020-2022年Mirai与其他恶意软件融合出现了兼具挖矿和DDoS功能的变种攻击目标从消费级IoT扩展到工业控制系统2023-2025年“僵尸网络即服务”(BaaS)模式兴起攻击者开始出租Mirai僵尸网络的攻击能力降低了DDoS攻击的门槛2026年至今以Nexcorium为代表的新一代Mirai变种更加注重隐蔽性和持久性能够利用最新披露的漏洞快速传播Mirai家族之所以能够长盛不衰根本原因在于IoT设备的安全现状没有得到根本改善。正如Fortinet安全研究员Vincent Li所说“物联网设备因其广泛使用、缺乏补丁和安全设置薄弱日益成为大规模攻击的主要目标。威胁行为者不断利用已知漏洞获取初始访问权限并部署能够持久存在、传播和发起分布式拒绝服务攻击的恶意软件。”四、另一个隐患已停止支持的TP-Link路由器在Nexcorium肆虐的同时Palo Alto Networks Unit 42还发现了另一波针对TP-Link已停止支持(EoL)路由器的攻击活动。攻击者试图利用CVE-2023-33538CVSS评分8.8这一命令注入漏洞部署另一个名为Condi的Mirai类似变种。CVE-2023-33538影响以下TP-Link路由器型号TL-WR940N v2和v4TL-WR740N v1和v2TL-WR841N v8和v10值得注意的是该漏洞已于2025年6月被美国国土安全部网络安全和基础设施安全局(CISA)列入已知被利用漏洞(KEV)目录。虽然目前观察到的攻击尝试存在技术缺陷无法成功入侵设备但Unit 42的研究人员警告说漏洞本身是真实存在的一旦攻击者修复了攻击代码中的问题将可能导致大规模感染。更令人担忧的是这些TP-Link路由器已经停止官方支持多年厂商不会再发布任何安全补丁。这意味着只要这些设备继续连接到互联网就会永远处于被攻击的风险之中。五、行业影响从个人用户到关键基础设施的全面威胁Nexcorium和Condi等IoT僵尸网络的泛滥对整个互联网生态系统构成了严重威胁5.1 个人用户层面家庭摄像头、DVR、路由器等设备被劫持可能导致隐私泄露被感染的设备会占用大量带宽导致网络速度变慢甚至中断设备可能被用于攻击其他目标用户可能在不知情的情况下成为网络犯罪的帮凶5.2 企业层面办公网络中的IoT设备被感染可能成为攻击者渗透企业内部网络的跳板企业网站和在线服务可能成为DDoS攻击的目标导致业务中断和经济损失工业控制系统中的IoT设备被入侵可能引发生产安全事故5.3 国家层面大规模IoT僵尸网络可能被用于网络战攻击关键基础设施如电力系统、交通系统、通信系统等跨境DDoS攻击可能引发国家间的网络冲突大量敏感数据可能通过被感染的IoT设备泄露六、防御指南如何保护你的IoT设备面对日益严峻的IoT安全威胁个人用户和企业都应该采取积极的防御措施6.1 个人用户建议立即更换已停止支持的设备如果你的TP-Link路由器属于上述受影响型号或者你的TBK DVR设备无法更新固件请尽快更换为新型号修改默认密码这是最简单也是最有效的防御措施。确保所有IoT设备都使用强密码并且不同设备使用不同的密码禁用不必要的服务关闭设备上的Telnet、SSH等远程管理服务除非你确实需要使用不要将IoT设备直接暴露在公网上将IoT设备放在路由器的内网中不要设置端口映射或DMZ定期更新固件养成定期检查和更新设备固件的习惯及时修复安全漏洞启用防火墙在路由器上启用防火墙功能阻止未经授权的外部访问6.2 企业建议实施网络分段将IoT设备与企业核心网络隔离开来限制横向移动的范围部署IoT安全解决方案使用专门的IoT安全平台对设备进行实时监控和异常检测建立资产清单全面掌握企业内部所有IoT设备的数量、型号、位置和运行状态制定应急响应计划提前制定针对IoT僵尸网络攻击的应急响应计划定期进行演练加强员工安全培训提高员工的安全意识避免因人为失误导致设备被入侵七、前瞻性展望IoT安全的未来挑战与机遇展望未来IoT安全形势依然严峻但也存在一些积极的变化7.1 未来挑战设备数量爆炸式增长据预测到2030年全球连接到互联网的IoT设备将超过750亿台这将为攻击者提供更多的攻击目标攻击技术不断升级攻击者将越来越多地利用人工智能和机器学习技术开发更加智能和难以检测的恶意软件零日漏洞利用增加随着IoT设备安全水平的提高攻击者将更多地依赖零日漏洞进行攻击勒索软件与IoT僵尸网络融合未来可能出现更多同时具备DDoS攻击和勒索功能的恶意软件给受害者带来双重打击7.2 发展机遇监管政策加强越来越多的国家开始制定针对IoT安全的法律法规强制要求厂商提高设备的安全水平厂商安全意识提升在市场和监管的双重压力下设备厂商开始将安全作为产品设计的核心要素安全技术创新人工智能驱动的威胁检测、零信任架构、区块链等新技术正在被应用于IoT安全领域行业合作加强厂商、安全公司、研究机构和政府之间的合作日益密切形成了更加完善的威胁情报共享机制八、结语Nexcorium的出现再次提醒我们IoT安全已经不再是一个可有可无的问题而是关系到每个人切身利益的重大挑战。在这个万物互联的时代每一台被忽视的IoT设备都可能成为网络攻击的武器。解决IoT安全问题需要全社会的共同努力厂商需要承担起安全责任从设计阶段就考虑安全问题用户需要提高安全意识采取必要的防护措施政府需要加强监管制定完善的法律法规安全研究人员需要持续跟踪威胁动态及时披露漏洞和攻击活动。只有这样我们才能构建一个更加安全、可信的物联网未来让技术真正造福人类而不是成为网络犯罪的工具。附件一企业IoT设备安全排查清单针对Nexcorium/Condi僵尸网络专项适用场景企业内部IoT设备全面安全排查与加固 |执行周期高风险设备每周1次全量设备每月1次 |版本V1.02026.04.19一、基础资产盘点必做排查前完成检查项检查内容检查方法风险等级整改建议全量IoT资产梳理统计所有联网IoT设备DVR/NVR、摄像头、路由器、交换机、门禁、打印机、工业传感器、智能电表等1. 扫描企业网段192.168.0.0/16、10.0.0.0/82. 核对采购台账与运维记录3. 标记影子设备未登记的私自接入设备高建立统一IoT资产台账包含设备型号、固件版本、部署位置、IP地址、MAC地址、责任人、上线时间、维保状态EOL设备专项排查识别已停止官方支持的设备1. 核对厂商EOL公告2. 重点排查TP-Link TL-WR940N v2/v4、TL-WR740N v1/v2、TL-WR841N v8/v10、TBK DVR-4104/4216、华为HG532系列极高1. 立即停用并更换所有EOL设备2. 无法立即更换的强制断网隔离公网暴露设备排查识别所有直接暴露在公网的IoT设备1. 检查路由器端口映射/DNAT规则2. 使用Shodan/Censys搜索企业公网IP3. 核对防火墙开放端口列表极高1. 原则上禁止IoT设备直接暴露公网2. 必须远程访问的通过VPN堡垒机接入二、高危漏洞专项排查针对本次攻击检查项检查内容检查方法风险等级整改建议CVE-2024-3721TBK DVR检查TBK DVR设备是否存在命令注入漏洞1. 查看设备固件版本是否为最新2. 使用Nessus/OpenVAS漏洞扫描工具专项检测3. 手动测试访问http://[IP]/cgi-bin/snapshot.cgi?cmd;id极高1. 立即更新至厂商最新固件2. 无法更新的立即断网隔离并更换设备CVE-2023-33538TP-Link路由器检查受影响TP-Link路由器是否存在命令注入漏洞1. 核对设备型号与版本2. 检查是否已修改默认管理密码3. 使用漏洞扫描工具检测高1. 立即更换所有受影响型号路由器2. 临时措施关闭远程管理功能修改强密码CVE-2017-17215华为HG532检查华为HG532路由器是否存在远程代码执行漏洞1. 查看设备固件版本2. 检查是否开启了UPnP和远程管理高1. 立即更新至最新固件2. 关闭UPnP和远程Telnet/SSH服务通用命令注入漏洞检查所有IoT设备Web管理界面是否存在命令注入1. 使用漏洞扫描工具进行全面扫描2. 重点检查设备的系统命令执行功能中1. 联系厂商获取补丁2. 限制Web管理界面仅内网访问三、基础配置加固排查检查项检查内容检查方法风险等级整改建议默认密码排查检查所有IoT设备是否使用默认用户名和密码1. 对照厂商默认密码表逐一核对2. 重点排查admin/admin、root/root、admin/123456等弱密码极高1. 所有设备必须修改为强密码长度≥12位包含大小写字母、数字和特殊字符2. 不同设备使用不同密码统一纳入密码管理系统远程管理服务排查检查是否开启了不必要的远程管理服务1. 扫描设备开放端口23(Telnet)、22(SSH)、80(HTTP)、443(HTTPS)2. 登录设备管理界面查看服务状态高1. 强制关闭Telnet服务使用SSH替代2. 关闭HTTP管理启用HTTPS3. 仅允许指定IP地址访问管理界面端口映射与UPnP排查检查是否存在不必要的端口映射和UPnP服务1. 登录路由器查看端口映射规则2. 检查设备是否开启了UPnP自动端口映射高1. 删除所有不必要的端口映射规则2. 全局关闭路由器UPnP功能系统权限排查检查设备运行账户权限是否过高1. 登录设备查看运行服务的账户2. 检查是否存在匿名访问权限中1. 使用最小权限原则运行设备服务2. 关闭匿名访问和访客账户日志功能排查检查设备是否开启了系统日志和安全日志1. 登录设备管理界面查看日志配置2. 检查日志是否定期备份中1. 开启所有日志功能日志保留时间≥90天2. 将日志统一发送至企业SIEM系统四、网络隔离与访问控制排查检查项检查内容检查方法风险等级整改建议网络分段排查检查IoT设备是否与核心业务网络隔离1. 查看网络拓扑图2. 测试IoT设备能否访问核心服务器和数据库极高1. 将所有IoT设备划分至独立VLAN2. 不同类型IoT设备进一步细分VLAN如安防VLAN、办公VLAN、工业VLAN防火墙规则排查检查是否有针对IoT设备的严格防火墙规则1. 查看防火墙访问控制列表(ACL)2. 测试IoT设备的出站和入站流量高1. 默认拒绝所有入站流量2. 仅允许IoT设备访问必要的外部地址如NTP服务器、固件更新服务器3. 禁止IoT设备主动访问核心业务网络横向移动限制检查是否限制了IoT设备之间的横向通信1. 测试同一VLAN内不同IoT设备能否互相访问2. 检查是否开启了端口安全中1. 启用端口安全绑定设备MAC地址2. 禁止IoT设备之间的不必要通信五、监控与应急响应排查检查项检查内容检查方法风险等级整改建议流量监控排查检查是否对IoT设备流量进行实时监控1. 查看网络监控系统是否包含IoT网段2. 检查是否设置了异常流量告警高1. 对IoT设备的出站流量进行重点监控2. 设置告警阈值单设备每秒出站连接数100、UDP流量占比80%异常行为检测检查是否能检测到IoT设备的异常行为1. 测试是否能检测到Telnet暴力破解2. 测试是否能检测到大量DDoS攻击流量中1. 在SIEM系统中配置IoT设备异常行为规则2. 重点关注大量Telnet连接、异常DNS查询、对外发起DDoS攻击应急响应流程检查是否有针对IoT僵尸网络的应急响应流程1. 查看企业应急响应预案2. 检查是否有明确的责任人与处置步骤中1. 制定专项IoT僵尸网络应急响应流程2. 明确感染后的处置步骤隔离→断网→清除→恢复→复盘3. 每季度进行一次应急演练感染排查检查是否有设备已被Nexcorium/Condi感染1. 检查设备是否出现异常卡顿、带宽占用过高2. 查看设备进程列表是否有未知进程3. 检查crontab和systemd是否有未知定时任务极高1. 发现感染立即断网隔离2. 清除恶意软件并恢复出厂设置3. 全面排查同一网段内的其他设备六、长期治理机制排查检查项检查内容检查方法风险等级整改建议固件更新机制检查是否有定期的固件更新机制1. 查看设备固件更新记录2. 检查是否有专人负责固件更新中1. 建立固件更新台账每月检查一次厂商安全公告2. 对关键设备进行自动固件更新供应商安全管理检查是否对IoT设备供应商进行安全评估1. 查看供应商安全评估报告2. 检查采购合同中是否包含安全条款低1. 新采购IoT设备必须通过安全评估2. 优先选择有良好安全记录的厂商3. 采购合同中明确厂商的安全责任和补丁支持期限员工安全培训检查是否对员工进行了IoT安全培训1. 查看培训记录2. 抽查员工的IoT安全意识低1. 定期开展IoT安全培训重点讲解私自接入设备的风险2. 建立员工举报机制鼓励上报异常设备七、使用说明优先级顺序先完成极高风险和高风险项的排查与整改再处理中低风险项记录留存所有排查和整改情况必须详细记录留存时间≥1年工具推荐资产扫描Nmap、Angry IP Scanner漏洞扫描Nessus、OpenVAS、绿盟远程安全评估系统流量监控Wireshark、Zeek、Suricata日志分析ELK Stack、Splunk、华为LogCenter特殊说明对于工业控制系统中的IoT设备整改前必须进行充分测试避免影响生产业务