安全态势报告-2026年6月

OCNET 团伙

OCNET团伙自5月底以来持续活跃，发起了多起大规模SSH爆破攻击。该团伙通过SSH弱口令登录主机后，植入挖矿程序及多种持久化后门（包括SSH公钥后门和隐藏后门文件）。

与以往爆破团伙相比，OCNET的显著特征在于较强的持久化权限控制能力 ：通过植入SSH公钥后门、持续激活已有后门并投递新后门的方式，确保对已控主机的长期有效控制。此外，该团伙在DDoS攻击方面尤为活跃，多次投递DDoS后门并发起实际攻击。

攻击手法

1. 初始访问 ：利用自动化工具对公网暴露的SSH服务进行弱口令暴力破解，获取主机登录权限。

2. 持久化驻留 ：写入SSH公钥至 ~/.ssh/authorized_keys，同时部署多种隐藏后门文件，并通过定期激活已有后门、投递新后门的方式维持长期控制。

3. 载荷投递 ：下载并执行挖矿程序及DDoS攻击后门，支持根据指令在挖矿与DDoS模式间动态切换。

4. 横向扩展 ：以已控主机为跳板继续扫描和爆破同网段或其他目标，扩大僵尸网络规模。

典型IOC

ocnet@goat666.xyz
cnet.goat666.xyz
google.kasin.xyz
fa83031a6964319843f67713fdd56b80
0e94a61a1690e53cf211dbc6163c75b5
138ba58259d3c64b34a2b9c5d0b8b178
e49c610315ff35dca6729fda138553d5
72b1b3948704c886233ad5b7d43d7a6d
329de3d499fae917826818b9a86a1387

OUTLAW 团伙

OUTLAW是另一以SSH爆破为主要攻击手段的活跃团伙，6月份持续针对云上租户主机发起攻击。该团伙主要通过SSH弱口令获取访问权限后，下载恶意压缩包（如 dota3.tar.gz）并释放挖矿载荷，攻击流程相对直接，同样存在一定的持久化能力。

攻击手法

1. 初始访问 ：通过SSH弱口令暴力破解获取主机登录权限。

2. 载荷投递 ：登录后直接下载恶意压缩包（如 dota3.tar.gz），解压后执行内置挖矿程序。

3. 基础驻留 ：通过常规方式（如SSH公钥、定时任务）维持挖矿进程运行，未发现高级持久化后门。

4. 资源消耗 ：以单一挖矿负载为主，持续占用主机计算资源。

典型IOC

dota3.tar.gz
a803de211bbdc0dfae46c5e2af7b2591
01a3ca860b8d0dc45c339d121a8dd44a
1c8a4f64d73112bcda7018741b53e4d9
08b13458bc0ae06e5b6c6d1e791ea38a

安全建议

1. 强化SSH认证：修改所有弱口令为12位以上含大小写、数字、特殊字符的强密码；禁用root直接SSH登录，改用普通账户+sudo提权；优先使用SSH密钥对认证替代密码登录，并在 /etc/ssh/sshd_config 中设置 PasswordAuthentication no。

2. 收敛暴露面：非必要不将22端口暴露于公网；若必须开放，配置安全组限制IP白名单，或通过VPN/堡垒机进行访问控制。

3. 处置已感染主机：若已被植入僵尸网络后门，可ECS专属免费安全防护权益说明，前往云安全中心【防护配置 > 病毒查杀】执行深度查杀，自动清除恶意程序、后门文件、异常SSH公钥及持久化启动项。

攻击手法

攻击者主要通过以下三条路径获取初始访问权限：

• Web应用漏洞扫描 ：针对企业对外暴露的Web业务系统（如ERP、OA、物流平台）进行自动化扫描，利用HTTP/HTTPS层已知RCE、反序列化或未授权访问漏洞直接植入勒索病毒；

• RDP弱口令爆破 ：批量探测公网开放的RDP服务（3389端口），通过弱口令爆破或凭证填充获取远程桌面控制权；

• 私有协议端口利用 ：针对管家婆等企业级管理软件的非标准TCP端口（如211/TCP），利用其私有二进制协议未授权访问缺陷直接执行系统级命令。

前两类因暴露面广、利用门槛低，仍是当前最主要的入侵手段；第三类虽占比相对较低，但隐蔽性强、检测盲区大，正被部分家族作为补充路径加速利用。

高频被扫应用清单

以下应用在6月份的勒索相关扫描攻击中位居前列，攻击者主要利用其历史漏洞（SQL注入、任意文件上传、RCE）、未授权访问接口或默认弱口令作为突破口：

• 畅捷通 T+ ERP系统

• TOMS 物流管理系统

• 用友 NC Cloud / U+ 系列 

• 管家婆系列管理软件

• 金蝶云 K3 Cloud

安全建议

若您的环境中部署了上述应用，请立即参照下述方式完成加固：

1. 收敛互联网暴露面 ：避免将管理后台、API接口、数据库及私有协议端口直接暴露公网；安全组入方向避免设置为0.0.0.0/0 ，建议限制可信来源IP或通过VPN、堡垒机代理访问；

2. 修复应用漏洞或升级至安全版本 ：立即查看畅捷通、用友、金蝶、管家婆等厂商发布的安全公告，优先修补RCE、反序列化及未授权访问类高危漏洞；对无法立即升级的系统，务必参考建议 1 收敛暴露面

针对部分存在被勒索隐患的用户，阿里云已推送安全告警，如您收到相关告警，请立即按引导进行处置。如有问题可提交安全工单咨询。

Nezha Monitoring（哪吒探针）爆多个高危漏洞

NeZha Monitoring（哪吒探针）是一款广泛使用的开源服务器监控工具。2026 年 5–6 月集中披露了 7 个安全漏洞，可组合形成从零权限到全面控制的完整攻击链。已有大量受害服务器被植入 gary@gary SSH 后门公钥、挖矿程序和 DDoS 工具。

影响版本：< v2.0.14｜修复版本：≥ v2.0.14

如果您在使用 Nezha Monitoring，请尽快按照以下方式进行自查：

1. 升级至 v2.0.14 及以上，升级后排查异常 SSH 密钥（重点 gary@gary）、未知计划任务和非预期管理员账号；

2. 避免将管理端口（一般为8008）直接暴露到公网，通过安全组限制为仅可信 IP访问。