巴西5000台路由器裸奔：未设Telnet密码的致命漏洞

近日 巴西互联网平安领域爆出一起令人震惊的事件：某互联网服务提供商为用户部署的近5000台路由器竟未设置Telnet密码，任何人都可通过Telnet客户端直接连接并接管设备。这一漏洞犹如为网络攻击者敞开了一扇“后门”，引发了对“谁在暗中操控这些设备”的广泛担忧。物联网平安公司NewSky Security的首席研究员Ankit Anubhav率先发现了这一隐患， 涉及型号包括DM991CR、DM706CR和DM991CS三种Datacom路由器。事件不仅暴露了设备配置的严重疏忽，更折射出物联网时代下基础网络设备平安的脆弱性。

事件直击：5000台设备“裸奔”的真相

据Ankit Anubhav披露，这些存在漏洞的路由器均由巴西ISP Qi Internet提供给用户。问题核心在于，设备出厂时默认未启用Telnet密码保护，用户手册中也明确提示“需自行配置密码”。只是多数普通用户缺乏网络平安意识，并未进行初始平安设置，导致设备直接暴露在公网中。通过FOFA网络空间搜索引擎检索发现， 截至事件曝光时全球范围内仍有3279台同类设备可被直接访问，且几乎全部位于巴西。

更令人担忧的是攻击者无需复杂技术手段即可实施控制。测试显示， 只需通过Telnet客户端连接设备，在密码提示处直接输入“ENTER”，即可成功登录路由器管理界面进而施行任意命令，包括篡改DNS配置、植入恶意软件、窃取网络数据等。这种“零门槛”的入侵方式， 使得这些路由器成为攻击者眼中的“香饽饽”，极易被纳入僵尸网络，用于发起大规模网络攻击。

技术剖析：为何未设Telnet密码如此凶险？

Telnet协议的“先天缺陷”

Telnet是一种古老的网络协议，用于远程登录和管理设备。其最大特点是在传输过程中采用明文方式， 不进行加密，这意味着用户名、密码及所有操作指令都会以裸奔形式在网络中传播。一旦设备未设置密码或使用默认密码，攻击者可通过端口扫描工具快速定位目标，直接建立连接并获取控制权。

在本次事件中，路由器不仅未设置密码，还将Telnet服务默认开启并暴露在公网。这相当于将设备的“管理权”直接交给了互联网上的任何人。Ankit Anubhav指出：“虽然物联网攻击者随时间推移变得越来越复杂， 但我们仍观测到，最容易的攻击向量在2018年就已被广泛提及，而设备所有人甚至在未设置密码的情况下就将设备暴露，这种基础错误至今仍在重复。”

三级攻击模型：从“裸奔”到“被控”的路径

Anubhav将物联网攻击划分为三个级别，用以解释未设密码路由器面临的威胁等级：

• 0级攻击攻击者通过猜测或利用设备默认密码获取访问权。本次事件中，由于未设密码，0级攻击直接升级为“无密码入侵”。
• 1级攻击针对Telnet等明文协议的漏洞， 通过中间人攻击、会话劫持等方式窃取控制权。未加密的通信使此类攻击极易实施。
• 2级攻击利用设备固件中的0day漏洞或已知漏洞获取权限。虽然本次事件主要源于配置错误，但若攻击者进一步利用固件漏洞，可实现对设备的彻底控制。

对于本次事件中的路由器， 攻击者只需施行0级攻击的“简化版”——无需密码直接登录，即可完成设备接管。接着，可通过写入自动化脚本，将批量路由器纳入僵尸网络，为后续大规模攻击提供“兵力”支持。

危害升级：从个人隐私到互联网平安的连锁反应

对普通用户的直接威胁

当路由器被攻击者控制后普通用户的网络环境将面临全方位风险。先说说个人隐私数据可能被窃取，包括登录账号、浏览记录、智能家居控制信息等。接下来攻击者可篡改路由器DNS设置，将用户导向恶意网站，导致账号密码被盗。更严重的是 若家庭中存在智能摄像头、智能门锁等设备，攻击者可通过路由器入侵这些设备，实现实时监控或物理入侵。

“每个家庭不光是电脑接入路由器， 智能手机、平板电脑、电视、智能家居设备都连上了WiFi，一旦路由器出现问题，这些设备都存在被攻击的风险。”Anubhav的警告直击家庭网络平安的痛点。在巴西， 此次受影响的5000名用户中，多数可能并未意识到自己的家庭网络已沦为“傀儡”，直到出现异常才察觉，但为时已晚。

对ISP的品牌信任危机

作为设备提供方，Qi Internet此次事件无疑将面临严重的品牌形象受损。用户将问题归咎于ISP，认为其“未履行平安保障责任”。品牌信任一旦崩塌，可能导致用户流失，甚至引发集体诉讼。还有啊， 若这些被控路由器被用于发起网络攻击，ISP还可能面临律法追责，比方说因未能及时修复漏洞导致第三方受损而承担赔偿责任。

对互联网基础设施的潜在冲击

5000台路由器被纳入僵尸网络后其聚合攻击能力不容小觑。攻击者可利用这些设备发起分布式拒绝服务攻击， 目标可能包括政府网站、金融机构、关键基础设施等，导致大规模网络瘫痪。2016年德国电信遭遇的“路由器劫持”事件便是前车之鉴：当时因90万用户路由器被恶意软件感染， 导致大规模网络中断，影响持续数日。本次巴西事件若不及时处置，可能演变为类似级别的网络平安事件。

案例对比：从德国电信到巴西事件的“历史重演”？

德国电信事件：失败的“路由器劫持”教训

2016年11月， 德国电信遭遇一起大规模网络中断事件，导致其2000万用户中的90万受影响。调查发现， 事件源于一次“失败的消费者路由器劫持”：攻击者通过恶意软件控制了大量路由器，试图将其纳入僵尸网络，但因操作失误导致设备无法正常联网，反而引发网络拥堵。德国电信接着发布声明，部署软件更新修复漏洞，并建议用户重启设备以清除恶意软件。

此次事件暴露了路由器平安对ISP的重要性，也警示了“配置错误+恶意利用”的组合危害。与巴西事件不同的是 德国电信的问题主要源于恶意软件感染，而巴西事件则是“未设密码”这一基础配置漏洞，后者更隐蔽、更普遍，也更难被普通用户察觉。

巴西事件的特殊性：“零门槛”入侵的警示

相较于德国电信事件，巴西事件的漏洞更为基础——无需密码即可登录。这意味着攻击者无需编写复杂的恶意软件，仅通过简单的脚本即可批量控制设备。NewSky Security的研究指出， “物联网攻击可被简化为三个级别，但最容易的攻击向量始终是未设置密码的设备暴露”。巴西事件正是这一论断的典型例证：基础平安配置的缺失，让攻击者实现了“降维打击”。

还有啊，巴西事件中涉及的设备型号均为面向家庭的消费级路由器，用户群体普遍缺乏平安意识。这与德国电信事件中企业级设备的受影响情况形成对比，进一步凸显了消费级物联网设备平安防护的薄弱环节。

防护之道：用户、 ISP与行业的多方应对

普通用户：自查与加固的“第一道防线”

对于普通用户而言，此次事件是一次重要的平安警醒。

• 检查路由器密码设置登录路由器管理界面 确保管理员密码已修改为复杂组合，避免使用默认密码。
• 关闭不必要的远程服务若无需远程管理， 建议关闭Telnet、SSH等远程登录服务，仅保留本地管理。若必须开启，务必启用强密码并限制访问IP。
• 定期检查DNS设置登录路由器查看DNS服务器地址是否被篡改， 建议使用可靠的公共DNS服务，如Google DNS、Cloudflare DNS等。
• 更新路由器固件厂商通常会通过固件更新修复平安漏洞，用户应定期检查并升级路由器固件至最新版本。

ISP的责任：从“部署”到“守护”的角色转变

作为设备提供方，ISP在此次事件中难辞其咎。未来 ISP需承担以下平安责任：

• 设备预配置平安加固在为用户部署设备前，应强制修改默认密码，关闭不必要的远程服务，并启用平安功能。
• 主动平安监测与响应建立网络空间平安监测系统， 定期扫描用户设备的平安漏洞，发现异常时及时提醒用户修复。
• 用户平安意识培训通过邮件、 短信、APP推送等方式，向用户普及网络平安知识，指导其完成初始平安配置，并提供7×24小时平安支持服务。
• 与平安机构合作像Qi Internet此次将问题上报巴西CERT的做法值得肯定， 未来应加强与平安厂商、CERT的合作，形成“发现-上报-修复-验证”的闭环机制。

行业层面：构建物联网平安的“生态屏障”

物联网设备的规模化应用， 需要产业链各方的协同努力：

• 厂商：落实“平安设计”原则路由器厂商应将平安作为核心设计要素，默认启用强密码、加密协议，并定期发布平安更新。对于面向海外市场的设备，需符合当地的平安合规要求。
• 监管机构：完善法规与标准政府应出台物联网设备平安标准， 强制要求厂商设置默认密码、漏洞修复时限等，并对违规企业进行处罚。一边，建立国家级的物联网漏洞共享平台，促进平安信息流通。
• 平安厂商：提供智能化防护方案平安企业需开发针对物联网设备的检测工具， 并推出面向家庭/企业的路由器平安托管服务，实现7×24小时实时防护。

未来展望：物联网平安，路在何方？

从“事后补救”到“事前防御”的转型

巴西事件 证明， 物联网平安不能依赖“亡羊补牢”式的被动响应，而应转向“事前防御”的主动策略。对ISP而言， 需将平安纳入设备部署的“全生命周期管理”，从采购、配置、运维到报废，每个环节都嵌入平安控制。对用户而言，需树立“平安配置是设备使用第一步”的意识，像给手机设置锁屏密码一样，为路由器设置强密码。

技术演进：AI与零信任架构的赋能

未来人工智能和零信任架构有望为物联网平安提供新思路。AI可”原则，对每次设备连接进行身份认证和权限校验，即使攻击者获取密码，也无法轻易横向移动至其他设备。

全球协作：构建无国界的网络平安共同体

物联网攻击具有无国界的特点，巴西事件中的路由器可能被境外攻击者操控。所以呢，全球各国需加强网络平安合作，共享威胁情报，协同打击跨国网络犯法。正如Ankit Anubhav所言：“设置强密码并持续更新物联网设备限制了攻击者的能力， 但要确保设备的平安性，还需要全球产业链的共同努力。”

平安无小事， 路由器“裸奔”敲响警钟

巴西5000台未设Telnet密码的路由器事件，不仅是一起孤立的平安漏洞，更是物联网时代基础设备平安问题的缩影。它提醒我们：在享受智能设备带来便利的一边，绝不能忽视其背后的平安风险。从普通用户到ISP， 从厂商到监管机构，唯有各方携手，将平安融入每一个环节，才能避免“谁在暗中操控”的疑问变成现实威胁。网络平安，任重道远，需从“密码”这件小事做起。

---