xiaohack's Blog - 物联网安全
type: channel
link: https://blog.xiaohack.org/tag/5b358e4f/
items: 直连时代安全密钥 JoySSL深度剖析IP证书的核心作用与市场需求
items: 高危漏洞CVE-2025-52694：研华设备存在 SQL 注入，可导致 IoT设备被完全攻陷
items: Kimwolf僵尸网络正在窥探您的本地网络
items: 一文带你看懂MQTT——MQTT pwn初探
items: 网络犯罪分子正在出售中国监控摄像头的访问权限
items: 网络犯罪分子正在兜售中国监控摄像头的访问权限

直连时代安全密钥 JoySSL深度剖析IP证书的核心作用与市场需求
type: item
date: 2026-01-23T16:44:20+08:00
description: 在万物互联与产业数字化快速发展的时代背景下，普通大众的通信方式正经历一场重要变革。越来越多的核心业务体系、工业设备以及云原生应用逐渐从传统的“基于域名连接”，过渡到更高效的IP地址直接通信方式。这种模式被广泛应用于金融核心交易系统间的专线连接、物联网设备与云端平台之间的指令互动，以及企业内部混合云服务的通讯中，从而让IP地址成为数据交互的核心定位元素。值得注意的是，这种直接连接虽然显著提高了效率，却去除了域名作为抽象层的保护，直接暴露出通信安全的根本问题，即如何确保与某个IP地址的交互是加密并可信的？JoySSL技术专家敏锐的指出，传统中基于域名的SSL证书已无法全面覆盖所有场景需求。为了适应IP直连环境的安全需求，专门针对IP地址设计的IP SSL证书，正在快速转变为保障关键基础设施、物联网系统及现代化IT架构安全通信的重要加密技术。IP证书不仅解决数据加密问题，更攻克了IP连接世界时面临的身份验证难题。IP SSL证书赋予数字坐标可信身份认证IP证书的真正价值，在于为此前匿名的IP地址建立一套可信的全球数字身份与安全机制。对申请组织进行严格的法律身份审核，实现IP地址的身份确认与可信声明，这一机制彻底改变了IP地址的匿名特性。配置IP证书后，客户端与指定IP地址之间的通信，能够通过标准的HTTPS/TLS协议实现全程加密，从而提升通信的安全性，有效预防网络监听和中间人攻击。此种方式，尤为适用于金融支付接口及工业数据上传等对安全性要求极高的场景。市场需求驱动IP证书从可选转为必选IP证书市场的快速增长，受到物联网及工业互联网的迅速扩展、金融行业及关键领域专有网络的现代化升级、云原生技术与微服务架构的深化应用、企业数字化转型中的遗留系统安全强化等不可逆趋势的强力推动，使其成为数字化转型中的关键组成部分，是企业实现持续发展的必然选择。专业数字证书解决方案构筑信任桥梁面对多样化的IP安全场景，专业且合规的IP认证服务通常支持国际标准，为公共IPv4和IPv6地址签发经过严格组织验证的证书，使企业享有与域名服务同等的全球信任级别。针对金融、能源等关键行业场景，也可以通过高保障的SSL证书适配基础设施，以满足安全标准。数字时代选择IP SSL证书扎根安全机制从域名向IP层的转变，不是技术的退步，而是连接回归其网络层核心的一部分。当关键交互愈加集中于IP层，安全保护也需深入这一核心。IP SSL认证是完善企业数字信任体系的关键环节，可使每一个关键IP地址如知名域名般具备可验证的身份，搭建稳固的加密通信渠道。在物联网、工业互联网和直连时代，忽视IP地址的安全，等同于在数字化发展的基础上留下隐患。选择IP证书不仅是一项技术部署，更是为核心数字资产在数字时代树立明确身份标记与坚不可摧的安全防线。

高危漏洞CVE-2025-52694：研华设备存在 SQL 注入，可导致 IoT设备被完全攻陷
type: item
date: 2026-01-20T00:11:11+08:00
description: 新加坡网络安全局（CSA）已就研华（Advantech）IoT 产品线中一个极具破坏性的漏洞发布高优先级警报。该漏洞编号为 CVE-2025-52694，CVSS 评分高达 10.0（满分），表明其属于需要管理员立即处理的严重威胁。 该漏洞为 SQL 注入漏洞。根据安全公告，成功利用后可使 “未授权远程攻击者执行任意 SQL 命令”。这意味着，如果受影响的服务暴露在互联网上，攻击者无需用户名或密码即可发起攻击。他们只需向数据库发送恶意命令，就可能窃取敏感数据、修改系统配置，甚至完全控制整个相连的 IoT 基础设施。 该漏洞由 HCMUTE 信息安全俱乐部的 Loi Nguyen Thang 先生发现，并与研华及新加坡网络安全局合作进行了协调披露。 漏洞影响研华 IoT 生态系统的多个组件，尤其是较旧版本的管理和边缘软件。受影响的产品包括： IoTSuite SaaSComposer：3.4.15 之前的版本 IoTSuite Growth Linux docker：V2.0.2 之前的版本 IoTSuite Starter Linux docker：V2.0.2 之前的版本 IoT Edge Linux docker：V2.0.2 之前的版本 IoT Edge Windows：V2.0.2 之前的版本 官方建议用户和管理员立即更新到最新版本以关闭此安全缺口。不同产品的更新方式如下： ・手动申请：IoTSuite SaaSComposer、IoTSuite Growth Linux docker 和 IoT Edge Windows 的用户必须直接联系研华技术支持，以获取官方修复版本。 ・直接下载：IoTSuite Starter Linux docker 和 IoT Edge Linux docker 的更新可通过研华官方渠道直接下载。

高危漏洞CVE-2025-52694：研华设备存在 SQL 注入，可导致 IoT设备被完全攻陷
type: item
date: 2026-01-18T02:11:58+08:00
description: 新加坡网络安全局（CSA）已就研华（Advantech）IoT 产品线中一个极具破坏性的漏洞发布高优先级警报。该漏洞编号为 CVE-2025-52694，CVSS 评分高达 10.0（满分），表明其属于需要管理员立即处理的严重威胁。 该漏洞为 SQL 注入漏洞。根据安全公告，成功利用后可使 “未授权远程攻击者执行任意 SQL 命令”。这意味着，如果受影响的服务暴露在互联网上，攻击者无需用户名或密码即可发起攻击。他们只需向数据库发送恶意命令，就可能窃取敏感数据、修改系统配置，甚至完全控制整个相连的 IoT 基础设施。 该漏洞由 HCMUTE 信息安全俱乐部的 Loi Nguyen Thang 先生发现，并与研华及新加坡网络安全局合作进行了协调披露。 漏洞影响研华 IoT 生态系统的多个组件，尤其是较旧版本的管理和边缘软件。受影响的产品包括： IoTSuite SaaSComposer：3.4.15 之前的版本 IoTSuite Growth Linux docker：V2.0.2 之前的版本 IoTSuite Starter Linux docker：V2.0.2 之前的版本 IoT Edge Linux docker：V2.0.2 之前的版本 IoT Edge Windows：V2.0.2 之前的版本 官方建议用户和管理员立即更新到最新版本以关闭此安全缺口。不同产品的更新方式如下： ・手动申请：IoTSuite SaaSComposer、IoTSuite Growth Linux docker 和 IoT Edge Windows 的用户必须直接联系研华技术支持，以获取官方修复版本。 ・直接下载：IoTSuite Starter Linux docker 和 IoT Edge Linux docker 的更新可通过研华官方渠道直接下载。

Kimwolf僵尸网络正在窥探您的本地网络
type: item
date: 2026-01-16T14:11:16+08:00
description: 您正在阅读的报道是一系列独家新闻，它们嵌套在一份更为紧迫的全球互联网安全公告之中。所讨论的漏洞已被利用数月之久，现在是时候让更多人意识到这一威胁了。简而言之，您过去对互联网路由器后方内部网络安全性的认知，如今很可能已严重过时。安全公司Synthient目前监测到全球有超过200万台设备感染了Kimwolf，其中越南、巴西、印度、沙特阿拉伯、俄罗斯和美国是重灾区。Synthient发现，三分之二的Kimwolf感染设备是内置无任何安全或认证机制的Android电视盒子。过去几个月，一个名为Kimwolf的新型僵尸网络呈现爆炸式增长。专家称其已感染全球超过200万台设备。Kimwolf恶意软件会强制受控系统转发恶意和滥用的互联网流量——例如广告欺诈、账户接管尝试和大规模内容抓取——并参与具有破坏性的分布式拒绝服务（DDoS）攻击，此类攻击足以让几乎任何网站一次性瘫痪数天。然而，比Kimwolf的惊人规模更重要的是其快速传播所采用的邪恶方法：它有效地通过多种“住宅代理”网络隧道回连，进入代理端点的本地网络，并进一步感染那些本应受用户防火墙和互联网路由器保护的设备。住宅代理网络作为一种服务出售，旨在帮助客户匿名化其网络流量并将其定位到特定区域。其中最大的服务商允许客户通过全球几乎任何国家或城市的设备来路由其流量。将终端用户互联网连接变为代理节点的恶意软件，通常与可疑的移动应用和游戏捆绑。这些住宅代理程序也常通过非官方Android电视盒子安装，这些盒子由第三方商家在诸如Amazon、BestBuy、Newegg和Walmart等热门电商平台销售。这些电视盒子的价格从40美元到400美元不等，以令人眼花缭乱的无名品牌和型号进行销售，并且经常被宣传为可以免费流式传输某些类型的订阅视频内容。但这场交易存在隐性成本：我们稍后将探讨，这些电视盒子构成了目前估计200万感染Kimwolf系统中相当大的一部分。一些预装了住宅代理恶意软件的非官方Android电视盒子。图片来源：Synthient。Kimwolf也非常擅长感染一系列联网数码相框，这些相框在各大电商网站同样大量存在。2025年11月，Quokka的研究人员发布了一份报告（PDF），详细说明了运行Uhale应用的基于Android的数码相框存在的严重安全问题——包括截至2025年3月亚马逊最畅销的数码相框。这些数码相框和非官方Android电视盒子的第二大安全噩梦在于，它们依赖于少数几款联网微电脑主板，而这些主板没有内置明显的安全或认证要求。换句话说，如果您与一个或多个此类设备处于同一网络，您很可能可以通过在网络中发送一条命令同时攻陷它们。没有地方比得上127.0.0.1这两种安全现实的结合在2025年10月凸显出来，当时罗切斯特理工学院的一名计算机科学本科生开始密切跟踪Kimwolf的增长，并每天与其明显的创建者直接互动。Benjamin Brundage是安全公司Synthient的22岁创始人，这家初创公司帮助企业检测代理网络并了解这些网络如何被滥用。Brundage在准备期末考试期间进行了大量关于Kimwolf的研究，他在2025年10月下旬告诉KrebsOnSecurity，他怀疑Kimwolf是Aisuru僵尸网络的一个新的基于Android的变种。Aisuru在去年秋天曾被错误地指责为多起破纪录DDoS攻击的元凶。Brundage表示，Kimwolf通过利用全球许多大型住宅代理服务中的一个明显漏洞而迅速壮大。他解释说，这个弱点的关键在于，这些代理服务未能充分阻止其客户将请求转发到单个代理端点的内部服务器。大多数代理服务会采取基本措施，通过明确拒绝针对RFC-1918中指定的本地地址的请求，来防止其付费客户“向上游”进入代理端点的本地网络。这些地址包括众所周知的网络地址转换（NAT）范围：10.0.0.0/8、192.168.0.0/16和172.16.0.0/12。这些范围允许私有网络中的多个设备使用单个公共IP地址访问互联网。如果您运行任何家庭或办公网络，您的内部地址空间就在一个或多个这些NAT范围内运行。然而，Brundage发现，Kimwolf的运营者已经找到了如何直接与数百万住宅代理端点的内部网络上的设备通信的方法，他们只需更改其域名系统（DNS）设置，使其与RFC-1918地址范围内的地址匹配即可。“通过使用指向192.168.0.1或0.0.0.0的DNS记录，可以绕过现有的域名限制，”Brundage在2025年12月中旬发送给近十二家住宅代理提供商的首份安全公告中写道。“这使得攻击者能够向当前设备或本地网络上的设备发送精心构造的请求。这正被积极利用，攻击者利用此功能来投放恶意软件。”

一文带你看懂MQTT——MQTT pwn初探
type: item
date: 2026-01-16T09:02:48+08:00
description: MQTT讲解MQTT（Message Queuing Telemetry Transport，消息队列遥测传输协议），是一种基于发布/订阅（publish/subscribe）模式的“轻量级”通讯协议，该协议构建于TCP/IP协议上，由IBM在1999年发布。MQTT最大优点在于，用极少的代码和有限的带宽，为连接远程设备提供实时可靠的消息服务。作为一种低开销、低带宽占用的即时通讯协议，使其在物联网、小型设备、移动应用等方面有较广泛的应用。协议原理实现MQTT协议需要客户端和服务器端通讯完成，在通讯过程中，MQTT协议中有三种身份：发布者（Publish）、代理（Broker）（服务器）、订阅者（Subscribe）。其中，消息的发布者和订阅者都是客户端，消息代理是服务器，消息发布者可以同时是订阅者。MQTT传输的消息分为：主题（Topic）和负载（payload）两部分：（1）Topic，可以理解为消息的类型，订阅者订阅（Subscribe）后，就会收到该主题的消息内容（payload）；（2）payload，可以理解为消息的内容，是指订阅者具体要使用的内容。发布者 (Publisher)功能： 负责产生数据和消息，并将这些指定topic的消息发送（发布/Publish）到 Broker。代理/服务器（broker）可以理解为提供 mqtt 服务的代理服务器 ，通俗一点来讲就是”邮局”或者说是”消息中转中心”，每个 client 之间的通信都必须通过 Broker 来进行。简单来说，Broker就是一个中间人，负责管理所有客户端的连接，并确保消息能够从一个客户端安全、高效地传递到另一个或多个客户端。订阅者（Subscribe）功能： 负责接收它感兴趣的消息。它会提前告诉Broker它对哪个”主题”（Topic）的消息感兴趣（这个行为叫做订阅/Subscribe），就会接收订阅相同topic的client。客户端（Client）客户端可以充当发布者，也可以充当订阅者，也可以同时充当两个角色Client 是指任何连接到 Broker 的设备或应用程序 ，可以理解为”寄信人”和”收信人”。在物联网场景中，一个 Client 可以是一个温度传感器、一个智能灯泡、一部手机上的App，或者是一个在服务器上运行的数据分析程序。示意图client1，2，3，4同时连接broker，client1，2，3订阅topic"diag" ,这时client4发送topic为"diag" msg="hello"给broker，broker会向同时订阅topic="diag"的client1，2，3发送这个消息环境配置1.使用安装 Mosquitto MQTTsudo apt updatesudo apt install mosquitto mosquitto-clients2.启动服务并设置开机自启sudo systemctl enable mosquitto sudo systemctl start mosquitto 3.配置confsudo vim /etc/mosquitto/mosquitto.conf 在文件中添加listener 1883 #设置监听端口为 1883 allow_anonymous true # 可选，允许匿名访问（默认） 摁“Esc”+“：wq”退出后终端输入sudo systemctl restart mosquitto # 重启服务 netstat -lnvp查看一下，可以看到1883端口已经开始监听下载mqttxMQTTX Download点击新建连接，我这里是wsl启动的，但是监听了所有ip的端口，所以ip直接填0.0.0.0添加一个订阅利用终端进行连接测试终端输入mosquitto_pub -h localhost -t testtopic -m "Hello MQTT" 可以看到在客户端已经收到了消息终端输入mosquitto_sub -h localhost -t testtopic 用来订阅这个消息，在客户端输入主题testtopic发送之后，在客户端和终端界面均可以看到刚才发的消息python使用mqttpip install paho-mqtt 发送端# -*- coding: utf-8 -*-# -*- coding: utf-8 -*- import paho.mqtt.client as mqtt import time def on_connect(client, userdata, flags, rc): print("链接") print("Connected with result code: " + str(rc)) def on_message(client, userdata, …

网络犯罪分子正在出售中国监控摄像头的访问权限
type: item
date: 2026-01-14T09:17:37+08:00
description: 数以万计的摄像头未能修补一个已存在11个月的关键CVE漏洞，导致数千家机构面临风险。最新研究表明，目前全球超过8万台海康威视监控摄像头易受一个已存在11个月的命令注入漏洞影响。海康威视（杭州海康威视数字技术股份有限公司的简称）是中国国有视频监控设备制造商。其客户遍布100多个国家（包括美国，尽管美国联邦通信委员会在2019年将海康威视列为"对美国国家安全构成不可接受的风险"）。去年秋季，海康威视摄像头中的命令注入漏洞以CVE-2021-36260的形式公之于众。美国国家标准与技术研究院（NIST）给该漏洞打出了9.8分（满分10分）的"严重"评级。尽管该漏洞危害严重，且事件已发生近一年，仍有超过8万台受影响的设备未安装补丁。在此期间，研究人员发现"多起黑客试图合作利用海康威视摄像头命令注入漏洞的案例"，特别是在俄罗斯暗网论坛上，泄露的登录凭证已被公开出售。目前已造成的损害程度尚不明确。报告作者仅能推测："中国威胁组织如MISSION2025/APT41、APT10及其附属组织，以及未知的俄罗斯威胁行为者团体，可能利用这些设备中的漏洞来实现其动机（可能包括特定的地缘政治考量）。"物联网设备的风险面对此类事件，人们很容易将软件未打补丁归咎于个人和组织的懈怠。但实际情况往往更为复杂。Cybrary威胁情报高级总监David Maynor指出，海康威视摄像头存在漏洞有多重原因，且已持续一段时间。"他们的产品存在易被利用的系统性漏洞，更糟糕的是使用默认凭证。没有有效方法进行取证或验证攻击者是否已被清除。此外，我们尚未观察到海康威视在开发周期中表现出任何提升安全性的态势转变。"许多问题是行业通病，并非海康威视独有。Comparitech隐私倡导者Paul Bischoff通过电子邮件声明写道："像摄像头这样的物联网设备的安全防护，并不总是像手机应用程序那样简单直接。更新不是自动的；用户需要手动下载安装，而许多用户可能永远收不到更新通知。此外，物联网设备可能不会向用户提示其处于不安全或过时状态。手机会在有更新时发出提醒，并在下次重启时自动安装，而物联网设备不提供这种便利。"在用户毫不知情的情况下，网络犯罪分子可以通过Shodan或Censys等搜索引擎扫描其易受攻击的设备。Bischoff指出，懈怠可能使问题进一步恶化："海康威视摄像头出厂时仅配备少数预设密码之一，而许多用户不会更改这些默认密码。"在安全防护薄弱、能见度和监管不足的情况下，这数万台摄像头何时（或是否）能得到安全保障尚不可知。

网络犯罪分子正在兜售中国监控摄像头的访问权限
type: item
date: 2026-01-13T23:12:41+08:00
description: 作者：Nate Nelson2022年8月25日 下午2:472 分钟阅读分享本文：数以万计的摄像头未能修补一个已存在11个月的关键CVE漏洞，导致数千家机构面临风险。新的 研究 表明，目前全球超过8万台海康威视监控摄像头易受一个已披露11个月的命令注入漏洞影响。海康威视（杭州海康威视数字技术股份有限公司的简称）是一家中国国有视频监控设备制造商。其客户遍布100多个国家（包括美国，尽管美国联邦通信委员会在2019年将海康威视列为“对美国国家安全构成不可接受的风险”）。去年秋季，海康威视摄像头中的一个命令注入漏洞以 CVE-2021-36260 的形式公之于众。美国国家标准与技术研究院（NIST）给予该漏洞9.8分（满分10分）的“严重”评级。尽管该漏洞危害严重，且事件已过去近一年，仍有超过8万台受影响的设备未打补丁。在此期间，研究人员发现“多起黑客试图合作利用海康威视摄像头命令注入漏洞的案例”，特别是在俄罗斯暗网论坛上，泄露的登录凭证已被公开出售。目前已造成的损害程度尚不明确。报告作者只能推测：“中国威胁组织如MISSION2025/APT41、APT10及其附属组织，以及未知的俄罗斯威胁行为者团体，可能利用这些设备中的漏洞来实现其动机（其中可能包括特定的地缘政治考量）。”物联网设备的风险面对此类事件，人们很容易将软件未修补归咎于个人或组织的懈怠。但实际情况并非总是如此简单。据Cybrary威胁情报高级总监David Maynor称，海康威视摄像头存在漏洞的原因很多，且已持续一段时间。“他们的产品包含易于利用的系统性漏洞，或者更糟的是，使用默认凭证。没有有效的方法进行取证或验证攻击者是否已被清除。此外，我们尚未观察到海康威视在其开发周期中表现出任何提升安全性的姿态。”许多问题是整个行业的通病，并非海康威视独有。Comparitech的隐私倡导者Paul Bischoff在通过电子邮件发表的声明中写道：“像摄像头这样的物联网设备，并不总是像手机上的应用程序那样容易或直接保护。更新不是自动的；用户需要手动下载和安装，而许多用户可能根本收不到通知。此外，物联网设备可能不会向用户提示其处于不安全或过时状态。你的手机会在有更新时发出警报，并可能在下次重启时自动安装，而物联网设备则不提供此类便利。”在用户毫不知情的情况下，网络犯罪分子可以通过Shodan或Censys等搜索引擎扫描他们的易受攻击设备。Bischoff指出，这个问题确实可能因懈怠而加剧，“因为海康威视摄像头出厂时预设了几个固定密码之一，而许多用户没有更改这些默认密码。”在安全性薄弱、可见性和监管不足的情况下，尚不清楚这数万台摄像头何时（或是否）能得到保护。

Kimwolf僵尸网络正在窥探您的本地网络
type: item
date: 2026-01-09T22:00:21+08:00
description: 您正在阅读的故事是一系列独家报道，它们嵌套在一个更为紧迫的全互联网安全公告之中。所讨论的漏洞已被利用数月之久，现在是时候让更多人意识到这一威胁了。简而言之，您过去对互联网路由器后方内部网络安全性的认知，如今很可能已经危险地过时了。安全公司Synthient目前监测到全球有超过200万台设备感染了Kimwolf，其中越南、巴西、印度、沙特阿拉伯、俄罗斯和美国是重灾区。Synthient发现，三分之二的Kimwolf感染设备是内置无安全或身份验证机制的Android电视盒子。过去几个月，一个名为Kimwolf的新型僵尸网络经历了爆炸性增长。专家称其已感染全球超过200万台设备。Kimwolf恶意软件迫使受感染系统转发恶意和滥用的互联网流量——例如广告欺诈、账户接管尝试和大规模内容抓取——并参与足以使几乎所有网站离线数日的毁灭性分布式拒绝服务（DDoS）攻击。然而，比Kimwolf的惊人规模更重要的是它用来快速传播的邪恶方法：它有效地通过多种“住宅代理”网络隧道回连，进入代理端点的本地网络，并进一步感染那些隐藏在用户防火墙和互联网路由器假定保护之下的设备。住宅代理网络作为一种服务出售，旨在帮助客户匿名化其网络流量并将其定位到特定区域。其中最大的服务允许客户通过全球几乎任何国家或城市的设备来路由其流量。将终端用户的互联网连接转变为代理节点的恶意软件，通常与可疑的移动应用和游戏捆绑在一起。这些住宅代理程序也常通过非官方Android电视盒子安装，这些盒子由第三方商家在诸如Amazon、BestBuy、Newegg和Walmart等热门电商网站上销售。这些电视盒子的价格从40美元到400美元不等，以令人眼花缭乱的无名品牌和型号进行销售，并且经常被宣传为可以免费流式传输某些类型的订阅视频内容。但这场交易存在隐藏成本：正如我们稍后将探讨的，这些电视盒子构成了目前估计200万感染Kimwolf系统中相当大的一部分。一些预装了住宅代理恶意软件的非官方Android电视盒子。图片来源：Synthient。Kimwolf也非常擅长感染一系列联网数码相框，这些相框在各大电商网站同样大量存在。2025年11月，Quokka的研究人员发布了一份报告（PDF），详细说明了运行Uhale应用的基于Android的数码相框存在的严重安全问题——包括截至2025年3月亚马逊最畅销的数码相框。这些数码相框和非官方Android电视盒子的第二个重大安全噩梦是，它们依赖于少数几款联网微电脑板，这些板子没有内置明显的安全或身份验证要求。换句话说，如果您与一个或多个此类设备处于同一网络，您很可能可以通过在网络中发送一条命令，同时攻陷它们。没有地方比得上127.0.0.1这两种安全现实的结合在2025年10月凸显出来，当时罗切斯特理工学院的一名计算机科学本科生开始密切追踪Kimwolf的增长，并每天与其明显的创建者直接互动。Benjamin Brundage是安全公司Synthient的22岁创始人，这家初创公司帮助企业检测代理网络并了解这些网络如何被滥用。Brundage在准备期末考试期间进行了大量关于Kimwolf的研究，他在2025年10月下旬告诉KrebsOnSecurity，他怀疑Kimwolf是Aisuru僵尸网络的一个新的基于Android的变种。Aisuru在去年秋天曾被错误地归咎为一系列破纪录DDoS攻击的元凶。Brundage表示，Kimwolf通过利用全球许多大型住宅代理服务中的一个明显漏洞而迅速增长。他解释说，这个弱点的关键在于，这些代理服务未能充分阻止其客户将请求转发到单个代理端点的内部服务器。大多数代理服务会采取基本措施，通过明确拒绝针对RFC-1918中指定的本地地址（包括众所周知的网络地址转换（NAT）范围10.0.0.0/8、192.168.0.0/16和172.16.0.0/12）的请求，来防止其付费客户“向上游”进入代理端点的本地网络。这些范围允许私有网络中的多个设备使用单个公共IP地址访问互联网，如果您运行任何家庭或办公室网络，您的内部地址空间就在一个或多个这些NAT范围内运行。然而，Brundage发现，操作Kimwolf的人已经找到了如何直接与数百万住宅代理端点的内部网络上的设备通信的方法，只需将其域名系统（DNS）设置更改为与RFC-1918地址范围相匹配即可。“通过使用指向192.168.0.1或0.0.0.0的DNS记录，可以绕过现有的域名限制，”Brundage在2025年12月中旬发送给近十二家住宅代理提供商的首份安全公告中写道。“这使攻击者能够向当前设备或本地网络上的设备发送精心构造的请求。这正被积极利用，攻击者利用此功能来投放恶意软件。”

Kimwolf僵尸网络正在窥探您的本地网络
type: item
date: 2026-01-05T23:33:31+08:00
description: 您正在阅读的故事是一系列独家报道，它们嵌套在一个更为紧迫的全互联网安全通告之中。所讨论的漏洞已被利用数月之久，现在是时候让更多人意识到这一威胁了。简而言之，您过去对互联网路由器后方内部网络安全性的认知，如今很可能已经过时，并带来了危险。安全公司Synthient目前观察到全球有超过200万台设备感染了Kimwolf，主要集中在越南、巴西、印度、沙特阿拉伯、俄罗斯和美国。Synthient发现，其中三分之二的Kimwolf感染设备是内置无安全或身份验证功能的Android电视盒。过去几个月，一个名为Kimwolf的新型僵尸网络经历了爆炸性增长。专家称其已感染全球超过200万台设备。Kimwolf恶意软件会迫使受感染系统转发恶意和滥用的互联网流量——例如广告欺诈、账户接管尝试和大规模内容抓取——并参与足以使几乎任何网站离线数日的毁灭性分布式拒绝服务（DDoS）攻击。然而，比Kimwolf的惊人规模更重要的是它用来快速传播的邪恶方法：它有效地通过多种“住宅代理”网络隧道回传，进入代理端点的本地网络，并进一步感染那些隐藏在用户防火墙和互联网路由器假定保护之下的设备。住宅代理网络作为一种服务出售，旨在帮助客户匿名化其网络流量并将其定位到特定区域。其中最大的服务允许客户通过全球几乎任何国家或城市的设备来路由其流量。将终端用户的互联网连接转变为代理节点的恶意软件，通常与可疑的移动应用和游戏捆绑在一起。这些住宅代理程序也常通过非官方Android电视盒安装，这些电视盒由第三方商家在诸如Amazon、BestBuy, Newegg和Walmart等热门电商网站上销售。这些电视盒价格从40美元到400美元不等，以令人眼花缭乱的无名品牌和型号进行销售，并且经常被宣传为可以免费流式传输某些类型的订阅视频内容。但这场交易存在隐藏成本：正如我们稍后将探讨的，这些电视盒构成了目前估计感染Kimwolf的200万个系统中相当大的一部分。一些预装了住宅代理恶意软件的非授权Android电视盒。图片来源：Synthient。Kimwolf也非常擅长感染一系列联网数码相框，这些相框在各大电商网站同样大量存在。2025年11月，Quokka的研究人员发布了一份报告（PDF），详细说明了运行Uhale应用的基于Android的数码相框存在的严重安全问题——包括截至2025年3月亚马逊最畅销的数码相框。这些数码相框和非授权Android电视盒带来的第二大安全噩梦是，它们依赖于少数几款联网微电脑板，而这些板子没有内置明显的安全或身份验证要求。换句话说，如果您与一个或多个此类设备处于同一网络，您很可能可以通过在网络中发送一条命令，同时攻陷它们。没有地方比得上127.0.0.1这两种安全现实的结合在2025年10月凸显出来，当时罗切斯特理工学院的一名计算机科学本科生开始密切跟踪Kimwolf的增长，并每天与其明显的创建者直接互动。Benjamin Brundage是安全公司Synthient的22岁创始人，这家初创公司帮助企业检测代理网络并了解这些网络如何被滥用。Brundage在准备期末考试期间进行了大量关于Kimwolf的研究，他在2025年10月下旬告诉KrebsOnSecurity，他怀疑Kimwolf是Aisuru僵尸网络的一个新的基于Android的变种。Aisuru在去年秋天曾被错误地指责为多起破纪录DDoS攻击的元凶。Brundage表示，Kimwolf通过利用全球许多大型住宅代理服务中的一个明显漏洞而迅速增长。他解释说，这个弱点的关键在于，这些代理服务未能充分阻止其客户将请求转发到单个代理端点的内部服务器。大多数代理服务会采取基本措施，通过明确拒绝针对RFC-1918中指定的本地地址的请求，来防止其付费客户“向上游”进入代理端点的本地网络。这些地址包括众所周知的网络地址转换（NAT）范围：10.0.0.0/8、192.168.0.0/16和172.16.0.0/12。这些范围允许私有网络中的多个设备使用单个公共IP地址访问互联网。如果您运行任何家庭或办公网络，您的内部地址空间就在一个或多个这些NAT范围内运行。然而，Brundage发现，操作Kimwolf的人已经找到了如何直接与数百万住宅代理端点的内部网络上的设备通信的方法，他们只需更改其域名系统（DNS）设置，使其与RFC-1918地址范围中的设置匹配即可。“通过使用指向192.168.0.1或0.0.0.0的DNS记录，可以绕过现有的域名限制，”Brundage在2025年12月中旬发送给近十二家住宅代理提供商的首份安全通告中写道。“这使得攻击者能够向当前设备或本地网络上的设备发送精心构造的请求。这正被积极利用，攻击者利用此功能来投放恶意软件。”

Kimwolf僵尸网络正在窥探您的本地网络
type: item
date: 2026-01-04T18:26:00+08:00
description: 您正在阅读的报道是一系列独家新闻，它们嵌套在一份更为紧迫的全互联网安全通告之中。所讨论的漏洞已被利用数月之久，现在是时候让更多人意识到这一威胁了。简而言之，您过去对互联网路由器后方内部网络安全性的认知，如今很可能已经过时，并带来了危险。安全公司Synthient目前监测到全球有超过200万台设备感染了Kimwolf，其中越南、巴西、印度、沙特阿拉伯、俄罗斯和美国是重灾区。Synthient发现，三分之二的Kimwolf感染设备是内置无安全措施或身份验证的Android电视盒子。过去几个月，一个名为Kimwolf的新型僵尸网络经历了爆炸性增长。专家称其已感染全球超过200万台设备。Kimwolf恶意软件会迫使受感染系统转发恶意和滥用的互联网流量——例如广告欺诈、账户接管尝试和大规模内容抓取——并参与足以使几乎任何网站连续数天瘫痪的毁灭性分布式拒绝服务（DDoS）攻击。然而，比Kimwolf的惊人规模更重要的是它用来快速传播的邪恶方法：它有效地通过多种“住宅代理”网络隧道回连，进入代理端点的本地网络，并进一步感染那些隐藏在用户防火墙和互联网路由器假定保护之下的设备。住宅代理网络作为一种服务出售，旨在帮助客户匿名化其网络流量并将其定位到特定区域。其中最大的服务允许客户通过全球几乎任何国家或城市的设备来路由其流量。将终端用户的互联网连接转变为代理节点的恶意软件，通常与可疑的移动应用和游戏捆绑在一起。这些住宅代理程序也常通过非官方Android电视盒子安装，这些电视盒子由第三方商家在诸如Amazon、BestBuy、Newegg和Walmart等热门电商网站上销售。这些电视盒子的价格从40美元到400美元不等，以令人眼花缭乱的无名品牌和型号进行销售，并且经常被宣传为可以免费流式传输某些类型的订阅视频内容。但这项交易存在隐性成本：正如我们稍后将探讨的，这些电视盒子构成了目前估计200万感染Kimwolf系统中相当大的一部分。一些预装了住宅代理恶意软件的非官方Android电视盒子。图片来源：Synthient。Kimwolf也非常擅长感染一系列联网数码相框，这些相框在各大电商网站上也大量存在。2025年11月，Quokka的研究人员发布了一份报告（PDF），详细说明了运行Uhale应用的基于Android的数码相框存在的严重安全问题——包括截至2025年3月亚马逊最畅销的数码相框。这些数码相框和非官方Android电视盒子的第二个重大安全噩梦是，它们依赖于少数几款联网微电脑板，这些板子没有内置明显的安全或身份验证要求。换句话说，如果您与一个或多个此类设备处于同一网络，您很可能可以通过在网络中发送一条命令同时攻陷它们。没有地方比得上127.0.0.1这两种安全现实的结合在2025年10月凸显出来，当时罗切斯特理工学院的一名计算机科学本科生开始密切跟踪Kimwolf的增长，并每天与其明显的创建者直接互动。Benjamin Brundage是安全公司Synthient的22岁创始人，这家初创公司帮助企业检测代理网络并了解这些网络如何被滥用。Brundage在准备期末考试期间进行了大量关于Kimwolf的研究，他在2025年10月下旬告诉KrebsOnSecurity，他怀疑Kimwolf是Aisuru僵尸网络的一个新的基于Android的变种。Aisuru在去年秋天曾被错误地指责为多起破纪录DDoS攻击的元凶。Brundage表示，Kimwolf通过利用全球许多大型住宅代理服务中的一个明显漏洞而迅速增长。他解释说，这个弱点的关键在于，这些代理服务未能充分阻止其客户将请求转发到单个代理端点的内部服务器。大多数代理服务会采取基本措施，通过明确拒绝针对RFC-1918中指定的本地地址（包括众所周知的网络地址转换（NAT）范围10.0.0.0/8、192.168.0.0/16和172.16.0.0/12）的请求，来防止其付费客户“向上游”进入代理端点的本地网络。这些范围允许私有网络中的多个设备使用单个公共IP地址访问互联网，如果您运行任何家庭或办公室网络，您的内部地址空间就在一个或多个这些NAT范围内运行。然而，Brundage发现，操作Kimwolf的人已经找到了如何直接与数百万住宅代理端点的内部网络上的设备通信的方法，只需将其域名系统（DNS）设置更改为与RFC-1918地址范围相匹配即可。“通过使用指向192.168.0.1或0.0.0.0的DNS记录，可以绕过现有的域名限制，”Brundage在2025年12月中旬发送给近十二家住宅代理提供商的首份此类安全通告中写道。“这使攻击者能够向当前设备或本地网络上的设备发送精心构造的请求。这正被积极利用，攻击者利用此功能投放恶意软件。”