二手路由器已成黑产重灾区，10万台二手路由器被刷入木马

江苏首例路由器僵尸网络大案：10万台二手路由器被刷入木马，险从生产源头投毒

10月31日，南京警方对外通报一起江苏首起在路由器固件内植入木马、搭建大型僵尸网络的特大网络犯罪案件。该案由高校一处异常网络流量线索切入，警方层层深挖，打掉一条“写木马—批量刷机—二手分销”的完整黑灰产链条，涉案路由器总量高达10万余台，其中已有3.2万余台设备实际受控、散布在全国三十多个省市，潜在数据泄露与网络攻击风险极高。

案件的起点十分偶然：南京某高校内出现异常网络信号，溯源后发现，一名学生网购的廉价二手路由器内置隐秘木马，在用户完全不知情的情况下，自动连接犯罪团伙的后台服务器，被动参与网络活动，甚至触发了异常访问预警。这个不起眼的线索，让专案组锁定了以金某、王某为核心的犯罪团伙，还有出资、分销的上下游同伙。

经查，团伙分工清晰：金某负责开发具备隐藏、防查杀能力的定制木马程序，木马可以常驻路由器固件，普通恢复出厂设置很难清除；王某负责对接二手设备商家，成批量对回收路由器刷机，每刷一台设备还会给经销商补贴，拉拢二手商家成为帮凶。被植入木马后的路由器变成可远程调度的“肉鸡”，嫌疑人在后台可以随时下发指令，实现流量劫持、窃取上网记录、账号隐私数据，还能集中调度海量设备发起DDoS网络攻击，再把僵尸网络的控制权对外出售牟利，是黑灰产里典型的攻击资源。

更值得警惕的是，在落网之前，嫌疑人已经在谋划更危险的方案：打算应聘进入路由器原厂，尝试在生产线环节直接把木马植入全新设备固件。一旦该计划落地，风险将不再局限二手市场，大批量全新路由器出厂即带后门，危害范围会呈指数级扩大，所幸在实施前就被警方抓获，重大风险被提前掐灭 。

专案组奔赴多地同步开展集群抓捕行动，在涉案仓库现场查扣8000余台还未流入市场、已经刷好木马的路由器。案件办理阶段，检察机关提前介入，组建具备计算机专业背景的办案团队，对电子证据、木马程序功能、远程控制链路做专业司法鉴定，夯实证据链，厘清上下游罪责。

法院最终以非法控制计算机信息系统罪对多名被告人宣判，刑期从一年三个月到四年不等，同步判处罚金，部分分销人员适用缓刑，全部违法所得予以追缴。

案件宣判后，多部门同步开展风险善后处置：查扣的问题路由器统一集中销毁；警方接管、关停犯罪控制后台，清除留存的用户数据；同时联动路由器厂商，针对已经流入民间、无法直接回收的风险设备，推送专项固件升级包，远程清除内置木马后门，最大限度消除存量隐患。

针对本案暴露的安全漏洞，警方发布网络安全提醒：路由器属于家庭核心网关设备，承载全家上网流量，不建议购买低价、来源不明的二手路由器。二手设备经过刷机改造后，后门隐蔽性极强，普通用户很难通过简单重置、杀毒软件发现。

补充科普：普通用户自查、防护建议

1. 优先在品牌官方旗舰店、正规渠道购买全新路由器，保留购买凭证；

2. 如果已经在用二手路由器，优先直接刷官方原版固件，不要只简单恢复出厂；

3. 定期登录路由器后台，检查陌生管理员账号、未知远程管理开关，及时修改管理密码；

4. 关闭外网管理、远程调试等不必要功能，及时安装官方推送的安全更新！

5. 第三方固件只在官网或者开源官方平台下载！远离小作坊固件！！！