从破产案例看网络暗战｜观安AI SOC+MSS如何让Masjesu僵尸网络\"无所遁形\"

观安信息

2026年7月24日 17:30
上海

在小说阅读器读本章

去阅读

2026年网络安全领域，网络攻击引发的致命性商业风险持续凸显。德国老牌中小企业ZEGO因遭遇网络攻击导致生产停滞近六周、最终申请破产的案例（原文链接：https://www.it-daily.net/shortnews/cyberangriff-zego-insolvenz），为全行业敲响警钟：相较于数据泄露、勒索赎金等显性风险，网络攻击引发的业务长期停摆、服务可用性崩塌，是企业生存发展的致命威胁。

各类隐蔽性网络攻击已从单纯的技术漏洞风险，升级为影响企业经营、产业稳定的核心风险，而长期潜伏、迭代演进的IoT僵尸网络，正是当下极易被忽视、危害极强的主流网络威胁。

事件概述：

新型 IoT 僵尸网络持续活跃

近日，Trellix 发布研究文章，披露了一个名为 Masjesu 的新兴 IoT 僵尸网络（原文链接：https://www.trellix.com/blogs/research/masjesu-rising-stealth-iot-botnet-ddos-evasion/）。该僵尸网络主要瞄准暴露在公网中的路由器、光猫、网关、摄像头等物联网设备，通过漏洞利用、弱口令尝试和远程控制等方式，将大量设备纳入攻击资源池，并用于发起 DDoS 攻击。

结合观安 SOC 运营与情报中心近期监测情况来看，Masjesu 并非短期活跃的零散攻击行为，而更像是一个具备组织化特征的黑灰产攻击网络。相关攻击活动自 2023 年至 2026 年持续出现，攻击者长期利用 D-Link、TP-Link、GPON 光猫、Netgear、监控摄像头等各类 IoT 设备漏洞，组建庞大的僵尸网络，并将其用于针对游戏服务器、CDN 节点、企业站点等目标的攻击。

这类攻击的典型特征是攻击源分散、流量规模大、协议类型复杂，常见攻击方式包括 TCP、UDP、ICMP 等多协议混合 DDoS 攻击。Trellix 报告中也披露了与该僵尸网络相关的关键 IOC 信息，包括 C2 IP、Domain、相关 CVE 漏洞以及 ATT&CK TTP 技术行为等，为安全团队开展监测、溯源和防护提供了重要参考。Masjesu 的出现再次说明，物联网设备已经成为黑灰产构建攻击基础设施的重要资源，相关风险不再局限于单个终端，而是会进一步影响运营商网络稳定性和客户业务连续性。

攻击过程：

从漏洞设备到僵尸网络

Masjesu 的攻击链条具有较强的典型性。攻击者首先会在互联网上进行大规模扫描，寻找存在安全短板的 IoT 设备。这些设备通常存在默认口令未修改、弱口令使用、固件版本老旧、漏洞长期未修复、远程管理端口暴露等问题。家庭路由器、GPON 光猫、网络摄像头、企业网关、白牌电视盒等设备，都可能成为攻击者批量入侵的目标。

（图片来源：https://vtv.gov.vn/news/an-toan-thong-tin-1/canh-bao-tv-box-smart-tv-gia-re-tiem-an-rui-ro-an-ninh-mang）

一旦发现可利用设备，攻击程序会尝试通过漏洞利用、凭证爆破或远程执行等方式获取设备权限，并下载恶意载荷。设备被感染后，会与攻击者控制的 C2 服务器建立通信，成为僵尸网络中的一个节点。由于很多 IoT 设备缺乏日志审计、安全防护和异常告警能力，被感染后在用户侧往往仍可正常使用，路由、视频访问或联网功能并不会立即中断，因此很难被普通用户发现。

在后续攻击阶段，攻击者可通过 C2 下发指令，调度分布在不同地区、不同网络中的大量“肉机”向指定目标发起攻击。根据监测案例，Masjesu 相关攻击主要面向游戏服务器、CDN 节点和企业站点，攻击方式以大流量 TCP、UDP、ICMP 混合 DDoS 为主，能够造成目标链路拥塞、业务访问延迟升高，甚至服务不可用。

根据Trellix报告，大部分僵尸网络的肉机50%左右来自于越南。主要原因是越南存在众多廉价的白牌硬件，（白牌硬件指由非知名品牌或 ODM/OEM 厂商生产、无注册品牌的硬件设备）并且流通规模极大，比如白牌的电视盒、摄像头、路由器等，这些是天然批量可被劫持的僵尸肉机。

（截图来源：https://vtv.gov.vn/news/an-toan-thong-tin-1/canh-bao-tv-box-smart-tv-gia-re-tiem-an-rui-ro-an-ninh-mang）

更值得关注的是，Masjesu 具备一定隐蔽性和规避能力。它并不只是简单制造异常流量，而是可能通过隐藏通信特征、控制攻击节奏、降低设备侧异常表现等方式，延长在被控设备中的存活时间。这意味着被感染设备可能长期潜伏在网络边缘，平时作为普通终端存在，一旦接到指令便迅速转化为攻击节点。

在多家运营商的威胁溯源过程中，观安 SOC 运营与情报中心也曾发现相关远控流量中的 C2 域名和 IP，并及时反馈、上报给相关运营商客户及主管单位，为后续封堵、溯源和处置提供支撑。

情报赋能：

以 CTIKG 串联 IOC、漏洞与攻击链

面对 Masjesu 这类持续演进的 IoT 僵尸网络，仅依赖单点 IOC 封堵已经难以满足防护需求。攻击者会不断更换 C2 地址、域名、攻击载荷和利用方式，如果缺少上下文关联能力，安全团队很难从零散告警中还原完整攻击链路。

观安威胁情报知识图谱（CTIKG）正是 AI SOC 的智能知识底座。通过整合 CVE、CWE、CAPEC、MITRE ATT&CK 四大权威威胁情报源，CTIKG 可构建覆盖漏洞、弱点、攻击模式、攻击技术、APT 组织、恶意软件、攻击工具等 10 类实体、15 种关联关系的全链路威胁知识网络。针对 Masjesu 报告中披露的 IOC IP、Domain、CVE 漏洞、ATT&CK TTP 等信息，可自动映射到知识图谱中的实体与关系，形成从“漏洞利用—设备感染—C2 通信—攻击指令—DDoS 行为”的完整证据链。

观安威胁情报知识图谱功能示意图（观安信息自有素材）

在 AI 智能体告警研判、攻击溯源、威胁狩猎等场景中，CTIKG 能够联动知识图谱自动匹配证据链，将分散的安全事件进行关联推理，帮助分析人员快速识别攻击入口、受影响资产、攻击技术和处置优先级。例如，当运营商网络中出现可疑 C2 外联、异常 UDP 流量或高危端口扫描时，AI SOC 可结合图谱中的 IOC、CVE、TTP 和历史事件，自动判断其是否与 Masjesu 僵尸网络存在关联，并输出标准化、可落地的处置建议。

观安威胁情报知识图谱-图谱探索页面（观安信息自有素材）

同时，观安 SOC 运营与情报中心会持续监测和收集各行各业的网络威胁、安全事件、数据泄漏、黑灰产等线索，通过自动化方式收集、更新、扩充图谱实体与关联链路，并依托 AI 大模型完成情报的标准化、关联推理与风险分级。这使得威胁情报不再只是静态名单，而是能够持续演进、主动支撑 AI SOC 全流程智能分析的知识体系。

防护建议：从接入侧加固到骨干网联动治理

面对 Masjesu 这类 IoT 僵尸网络，运营商需要建立覆盖“发现、识别、防护、处置、整改”的闭环能力。

在接入层，应重点关注路由器、GPON 光猫、家庭网关、摄像头等高风险设备，推动高危端口加固、默认口令治理、漏洞修补和固件升级。对于异常连接行为明显的终端，可结合策略限制 TCP/UDP 连接上限阈值，降低被控设备参与扫描和攻击的能力。同时，应加强对公网暴露管理端口的监测，减少 IoT 设备直接暴露在互联网中的风险。

在骨干网和出口侧，建议运营商完善 DDoS 清洗和流量牵引能力，可根据攻击规模和影响范围，采用 BGP 路由黑洞、流量清洗、ACL 拦截、限速策略等方式快速压制攻击流量，保障核心网络和重点客户业务稳定。同时，可部署蜜罐系统诱捕僵尸网络肉机行为，持续获取攻击样本、C2 情报和攻击手法，为后续溯源研判和联动封堵提供数据支撑。

Masjesu 的出现提醒我们，物联网安全已经从终端侧问题升级为网络级治理问题。运营商只有将接入设备加固、威胁情报、DDoS 防护、蜜罐诱捕、AI SOC 分析和用户整改机制结合起来，才能更早发现风险、更快阻断攻击，持续提升对 IoT 僵尸网络的主动防御能力。

声明：本文为观安信息行业分析观点。文中引用的第三方研究报告、案例资讯均来源于公开渠道，仅用于网络安全威胁趋势分析；内容仅供行业交流参考，不对任何企业、厂商作出定性评价。