2025 年 2 月 26 日，Nokia Deepfield 的緊急響應團隊（ERT）觀測到一波「一夜之間出現」的超規模 DDoS 攻擊。溯源後，一個被命名為 Eleven11bot 的殭屍網絡浮出水面——它是 Mirai 的變種，專門感染基於海思（HiSilicon）晶片的監控攝像頭、DVR 與 NVR。2 月 27 日，它打出了約 6.5 Tbps 的峰值，超越了當年 1 月剛創下的 5.6 Tbps 紀錄。本文帶你讀懂這起事件，以及它背後那場「邊緣設備戰爭」。

一、Mirai 的幽靈從未離開

Eleven11bot 並非全新家族，而是 Mirai 的變種。Mirai 自 2016 年開源以來，其代碼被無數駭客複用、演化。這一次，它瞄準的是 TVT-NVMS9000 視頻管理軟體運行其上的海思設備，利用默認憑證與未修補固件漏洞取得控制權。它使用精細化的掃描算法尋找暴露的 Telnet（23 端口）與 SSH（22 端口），再用針對特定廠商（如 VStarcam）的憑證字典進行暴力破解。

二、6.5 Tbps 與一場「數字羅生門」

事件最耐人尋味的，是設備規模的巨大分歧：

  • Nokia 估算約 30,000 台受感染設備（美國佔 24.4%、台灣 17.7%、英國 6.5%）。
  • Shadowserver 給出的數字超過 86,000 台。
  • GreyNoise / Censys 則認為真正受感染的可能不到 5,000 台（其中 61% 追溯到伊朗）。

分歧的根源，是一個被誤讀的網絡特徵：流量中出現的 head[…]1111 簽名，最初被當作感染標記，後來被歸因於海思 SDK 的正常協議行為——它是白牌 IoT 硬體遠程管理的合法組件。這給所有安全研究者一記提醒：在 IoT 戰場，「看見設備」不等於「設備被感染」，指標解讀的偏差會直接扭曲風險評估。

三、為什麼 IoT 仍是武器化的溫床

Eleven11bot 不是孤例。2025 年相關漏洞頻發且常被忽視：

  • CVE-2024-32899：TVT NVMS 的未授權遠程代碼執行（RCE），需立即修補。
  • CVE-2024-6047 / CVE-2024-11120：已停產（EOL）的 GeoVision IoT 設備命令注入，披露數月仍無補丁。
  • CVE-2025-1316：Edimax IC-7100 攝像頭命令注入零日，被 Mirai 變種在野利用。

底層邏輯始終如一：設備海量擴散（攝像頭、路由器、智能電視、甚至冰箱都上網）、默認憑證與糟糕的補丁習慣、部署後無人監控。這些設備在不知不覺中「靜默參戰」，匯成龐大的攻擊艦隊。

四、真實風險：攻擊強度與附帶損傷

Eleven11bot 的攻擊強度介於 每秒 10 萬到 5 億個封包（pps），偏好打擊電信服務提供商、遊戲託管與金融。部分攻擊造成的服務降級持續數天。更關鍵的是，攻擊流量來自數千個不同 ASN，節點真正全球化——這意味著任何依賴這些路徑的組織，都可能成為「附帶損傷」的受害者。

五、防禦：這是一場集體責任

對設備擁有者：

  • 禁用遠程管理、修改默認憑證、為海思系設備更新固件。
  • 修補 TVT-NVMS9000（CVE-2024-32899）等關鍵漏洞。
  • 對 DNS（UDP/53）、NTP（UDP/123）等協議啟用限速。

對網絡與防護方：

  • 使用 GreyNoise（已識別 1,042 個惡意 IP）、Shadowserver 等威脅情治源，在網絡層封鎖已知惡意 IP。
  • 用 SIEM 監控 Telnet/SSH 的暴力嘗試，與 IoT 設備的異常出站流量。
  • 採用零信任策略，將攝像頭、錄像機與業務網絡隔離。

結語

Eleven11bot 給我們的教訓是：IoT 安全不是某一家公司的事，而是製造商、監管機構、安全從業者與消費者共同的責任。只要大量設備仍以默認憑證、過期固件暴露在公網，它們就會繼續被武器化。對防護方而言，能在邊緣識別並牽引來自數千 ASN 的異常流量、在秒級完成緩解，才是對抗這場「邊緣設備戰爭」的真正壁壘。