（雷锋网）一起跨越一年多的案件可能带给我们新的思考——“僵尸”来了，很难挡住。
2017年年末，美国司法部门宣布制造了“美国东部大断网”的Mirai 僵尸网络始作俑者认罪，这起在 2016 年肆虐美国东部的全球首起物联网攻击再次引发了人们的关注。
事实上，雷锋网此前已经预警，安全研究员们随后监测到的大型僵尸网络都比 Mirai 的“僵尸军队”要大得多。比如，规模比 Mirai 大很多的“ Satori”的僵尸网络。Satori 在短短 12小时内感染了超过 26万个 IP 地址，利用最新发现的华为 HG532 系列路由器的命令执行漏洞 CVE-2017-17215(现已有处理建议)控制了数十万台家庭路由器。(详情见雷锋网(公众号：雷锋网)报道《巨大僵尸网络 Satori 冲着中国某品牌路由器而来，作者身份被披露》)。
但这只是冰山一角，现在看似被控制住的“ Satori”背后还有更多隐情和潜在风险。雷锋网与360 网络安全研究院安全研究员李丰沛取得联系，试图探索这个更隐秘的“僵尸”世界。
1.“ Satori”为什么针对的是华为路由器，有什么隐情吗?
李丰沛：现在Satori在12个小时的活跃数是26万，我们估计总体规模应该是在60万路由器左右，这是核武器级别的“僵尸网络”。
Satori大量继承了Mirai的原代码，主体结构跟Mirai非常类似，但是感染手段和感染对象发生了变化。至于为什么是华为路由器，而不是其他路由器。我认为，攻击者应该进行了多种感染方式的尝试，碰巧命中了一个能拿下非常多的路由器漏洞，而且基数以百万计，所以很快招募到了60万台“僵尸”，而且主要是家用路由器。
2.我们应该怪设备厂商“不作为”吗?
李丰沛：这涉及到供应链。说“设备供应厂商不为安全做努力”不客观，新出的摄像头都会有安全措施，他们其实也在积极寻求如何让设备更安全。
比较难处理的问题是——已经放出去的设备。它们已经存在网上，数量以百万计，如果发现哪个设备型号有问题，厂商也很难控制。比如，这个东西卖给了A国、C国，没对 B国卖过，但发现这个设备在B国非常多——因为销售管理渠道会窜货，这就不在厂商的控制范围内了，它可能都无法找到一个人通知和处理。
卖出去后，有些就已经脱离控制了。为什么国内好一点?国内往往是行业采购，比如，高速公路的管理机构会集中采购一批，如果出了问题，好找人。只要有管事的，总能推得下去。这就是为什么中国用了很多摄像头，但听起来好像被攻击得不是那么厉害的原因。他们是做了工作的，至于是否百分百尽力，是否达到社会的预期，这个有待评判，我们不说人家坏话。
3.一些 IoT 报告称，路由器、摄像头、打印机是物联网安全隐患最多的设备，你怎么看?
李丰沛：打印机暴露在外网少一点。我们不是从漏洞来看，漏洞是潜在威胁，我们看的是已经实际发生的，已经被实际利用的设备。我特别想说，要注意家用路由器。美国司法部提到的认罪书说，Mirai的三个犯罪人员在2016年12月份做漏洞注入时，感染的设备是家用路由器，不是摄像头。
核心原因是路由器在网络上的暴露面足够大，路由器一定有公网地址，外面可以扫得到，这有决定性意义。除了决定性的一条，存量设备已知漏洞没有修补、有一些未知漏洞、设备比较老，也都是原因。
你家里的打印机不会直接有一个公网地址，摄像头、路由器都有一个公网地址。我们要提醒大家，家用路由器实际发生的问题比摄像头严重得多。而且家用路由器真出了一点什么问题，你可能根本没有意识到，只要你能上网，个人不会意识到路由器被控制。
从家庭用户来说，如果网速变慢，你可能会重启路由器，你就觉得没事了。攻击者是大面积播种，成本很低，他不太在意在感染设备这一端上隐匿自己的行踪。
