11月6日，火绒的安全周报里有条容易被划过去的消息：南京警方侦破江苏首例在路由器植入木马搭僵尸网络的案子。团伙联合二手经销商批量刷入木马，涉案设备超10万台，警方查获8000余台，涉案人员获刑一年三个月至四年不等；这些机器流入二手市场后可被远程操控，用来劫持流量、窃取信息、发起攻击。知乎
差不多同一时间，厦门网警转发了国家互联网应急中心（CNCERT）的风险提示：新型僵尸网络 VeilDHT 正在大范围传播。10月16日至26日，境内累计40467台设备受感染，日上线受控主机峰值15805台，仍处扩张期；它主要感染 Linux 服务器与 IoT 设备，而扩散利用的两个漏洞都不新——CVE-2024-3912，华硕路由器命令注入；CVE-2021-35394，Realtek Jungle SDK 命令注入，后者是2021年的。微博知乎
再往前，今年6月 CNCERT 通报过家用路由器 DNS 被恶意篡改导致异常跳转，单日影响境内独立IP最高超过70余万个；现场取证的结论是后台管理口令强度不足，攻击者利用弱口令进了管理页面。三件事，三个入口——二手机里预刷的木马、五年前的老漏洞、没改过的后台密码，没一个靠高级技术撬开。微博知乎
被控之后，你大概率没感觉
最难受的是，木马不会让你断网，它只是安静地借你的设备转发流量。VeilDHT 能发起20种 DDoS 攻击、执行任意命令、开反向 Shell——一台设备被感染，就同时成了攻击源、隐蔽跳板和长期可控资源。今年5月国家安全部公开过一个案例：境外间谍情报机关把境内路由器当跳板做定向窃密，而使用人并未发觉受控情况，只觉得网速变慢、频繁掉线、自动重启。所以"最近家里网有点卡"，未必是宽带缩水。知乎微博
先别换机，30分钟能做完的事
下面这几项，CNCERT 的防范建议里几乎逐条列过，多篇加固教程也反复推荐，成本全是零：
改管理员密码，不是 WiFi 密码。 是登录后台那个，很多家庭五年没动过，还是 admin/admin——这个全网公知的默认账号才是绝大多数家庭被入侵的真正入口。改完拿手机流量（先断开家里 WiFi）访问路由器公网 IP，打不开才算对。知乎小红书
关掉"远程管理"。 对绝大多数家庭来说这功能根本用不到，却等于把路由器的管理大门开向整个互联网。知乎
关 WPS 和 UPnP。 CNCERT 把它们和端口映射一起列为高风险功能，建议关掉以减少暴露面。WPS 的 PIN 码有已被证实的暴力破解漏洞；UPnP 则允许家里任何一台被黑的设备自动在路由器上开门，把内网摄像头捅到公网。微博知乎
升固件，唯一能真堵住老漏洞的动作。 上面那两个 CVE，改密码躲不掉；国安部也点名，固件长期不升级的路由器后门及漏洞风险暴露较高。每季度点一次"检查更新"。微博
摄像头、插座、电视盒单独开一个访客网络，打开客户端隔离，关掉"允许访客访问内网"。这类设备芯片便宜、固件基本不更新，是全家最薄的一环；隔离后即使摄像头被黑，黑客也摸不到你的主力设备。知乎
顺手看一眼 WAN 侧 DNS 是不是运营商默认值。攻击者进后台后最常做的就是更改 DNS 设置，引导用户访问钓鱼网站。小红书
两句实话
光猫你基本管不了：大多数光猫由运营商提供，用户拿不到超级管理员权限。"加固完就绝对安全"也是假的——"打了补丁"和"清掉了后门"是两件完全不同的事，内网一旦被攻破，端口和防火墙都白搭。这些是抬门槛，不是买保险。知乎知乎
什么时候才真该换
第一种，厂商已停止维护甚至停产的老型号，洞曝出来也没人给你修。第二种，你要远程访问 NAS，却把管理端口直接映射到公网——换成加密组网工具建隧道，不向公网暴露任何端口，攻击者扫不到入口。第三种，火绒周报里还有个细节：这团伙甚至计划渗透厂商，从源头投毒；警方提示只有一句——谨慎购买来路不明的二手设备。微博知乎知乎
