近期大量用戶反映寬帶路由器頻繁掉線、管理界面無法登入、PING 延遲飆升、LAN 口指示燈狂閃。經排查非硬體故障非運營商端問題，而是局域網內單台 PC 感染未知病毒，5 秒內發起上萬條 NAT 連接癱瘓路由器。欣向科技聯同多家殺毒廠商分析溯源，緊急推出固件升級徹底修復。本文還原技術細節與應急全過程。

一、 病毒爆發現場特徵

二、 攻擊原理溯源：NAT 表耗盡攻擊

1. 病毒進程在用戶態運行，不觸發驅動級監控。
2. 利用原始 Socket 或高併發 HTTP/TCP 連接，極速向外部隨機 IP 發起連接請求（SYN 或完整握手）。
3. 路由器 NAT 模塊為每條連接分配條目（內網 IP:端口 ↔ 外網 IP:端口），條目數有限（低端幾千、中高端幾萬）。
4. 病毒併發連接數遠超 NAT 表容量，導致新連接無法建立，現有連接被擠出，路由器 CPU 耗盡於 NAT 查表/老化/清理，無法處理管理平面報文。
5. 病毒變種快、特徵碼提取難、傳播途徑多（掛馬網頁、IM、P2P、漏洞利用）。

三、 多品牌路由器實測抗壓能力

結論： 國內主流寬帶路由器在單點高併發連接攻擊下均存在致命弱點，確屬「寬帶路由器殺手」級威脅。

四、 廠商應急響應時間線

1. 客服歸類： 服務記錄顯示近期「斷線/掉線」工單激增，初判為硬體/線路故障。
2. 技術溯源： R&D 團隊搭建仿真環境捕獲樣本，逆向分析確認攻擊向量為 NAT 表耗盡。
3. 防護機制設計：
   - 連接頻率限制：單內網 IP 每秒新建連接數閾值（如 100/s）。
   - NAT 表佔用配額：單 IP 最大佔用比例（如 30%）。
   - 異常連接特徵識別：大量未完成握手、目標端口分散、封包長度固定。
   - 觸發自動封禁：疑似攻擊源 IP 自動加入黑名單 10 分鐘，並發送告警郵件/短信給管理員。
4. 全線固件升級： 核心代碼修改經回歸測試後，分批推送 OTA 升級，用戶無感知完成防護部署。
5. 驗證閉環： 升級後同樣病毒樣本無法癱瘓路由器，NAT 表佔用穩定在安全閾值內。

五、 給用戶與網管的行動指南

• 立即升級路由器固件： 登入廠商官網下載最新版，或開啟自動升級功能。
• 啟用路由器內建防火牆/DoS 防護： 設置合理的 SYN Flood/UDP Flood/ICMP Flood 閾值。
• 部署終端 EDR： 行為分析可發現「單進程高併發外連」異常，即使無特徵碼也能攔截。
• 網絡分段： 核心業務伺服器與用戶終端分離 VLAN，核心段路由器啟用更嚴格的連接限速。
• 流量基線建模： 記錄正常時段 NAT 表佔用率、CPU 利用率、新建連接速率，異常即告警。
• 應急預案： 準備離線管理通道（Console/Out-of-band），確保癱瘓時仍可登入路由器排查。

結語

這次「未知病毒」實為利用路由器 NAT 資源有限性的經典資源耗盡攻擊變種。它揭示了 IoT/邊緣網關設備在面對高併發異常流量時的系統性脆弱性。廠商從服務工單發現、技術逆向、機制設計、全線升級到驗證閉環的快速響應，展示了成熟的 SDL（安全開發生命週期）能力。對用戶而言，「固件保持最新、防護功能全開啟、終端行為監控部署到位」是應對此類未知威脅的最優解。