随着全球网络安全威胁的持续增长，近期两起与JDWP接口和SSH服务相关的安全事件引起了广泛关注。攻击者利用Java调试线协议（Java Debug Wire Protocol，简称JDWP）接口的暴露，成功实现远程代码执行并植入加密货币挖矿程序，使受害主机被转化为隐秘的“挖矿工厂”。与此同时，新兴的Go语言恶意软件Hpingbot利用SSH服务的弱口令配置，迅速构建了庞大的僵尸网络，用于发动高强度的DDoS攻击，给全球范围内的关键基础设施带来严重威胁。理解这两个安全威胁的技术细节与攻击链，对网络安全防护至关重要。JDWP是Java平台中用于调试的通信协议，允许调试器与运行中的Java虚拟机（JVM）建立连接，以实现断点调试和状态监测。此协议本身缺乏认证机制，一旦JDWP服务被配置为对外开放且未加封锁，便会成为攻击者的理想切入点。
目前许多开发与测试环境会启用JDWP，部分知名应用如TeamCity、Jenkins、Selenium Grid、Elasticsearch、Spring Boot及Apache Tomcat等，当以调试模式运行时，通常会自动开启JDWP监听端口。攻击者通过互联网扫描端口5005（JDWP默认端口），并发送特制的JDWP握手请求确认接口状态，一旦确认可用，便利用该接口注入恶意代码。研究表明，攻击者采用了修改版的XMRig挖矿木马，这种版本摒弃了传统的命令行参数，改为硬编码配置文件。这一策略有效逃避了安全检测系统的命令行监控。被植入的挖矿程序会优先终止系统中已存在的竞争性矿工和占用过高CPU的进程，确保资源独占。同时，挖矿软件利用矿池代理隐藏了其加密货币钱包地址，阻止调查人员通过钱包追踪攻击者身份。
此外，为保障挖矿程序的持续运行，攻击者会设置cron任务，实现持久化，确保在重启或用户登录后，恶意代码依旧可以被自动拉取并运行。感染过程中，入侵脚本通常托管在特定外部服务器，如“awarmcorner.world”，通过curl命令下载并执行，随后脚本会在退出时删除自身，减少痕迹。JDWP接口的这种暴露风险主要源于误配置及缺乏安全意识，尤其是在开发测试阶段未及时关闭或限制访问，导致漏洞被互联网范围内的恶意扫荡利用。数据来自GreyNoise的监测显示，24小时内全球有超2600个IP地址扫描JDWP接口，其中多数表现出恶意或可疑行为，遍布中国、美国、德国、新加坡及香港等地。另一方面，新发现的Hpingbot恶意软件以利用弱口令SSH配置为感染入口，证明了传统服务配置安全管理的重要性。Hpingbot由中国网络安全厂商NSFOCUS披露，是一种基于Go语言自主开发的恶意软件，区别于多年前著名的Mirai和Gafgyt僵尸网络家族。
自2025年6月中旬以来，Hpingbot已发出数百次DDoS攻击指令，主要攻击目标聚焦于德国、美国和土耳其。该木马通过密码喷射攻击在弱密码SSH服务器中获取初步访问权限，随后借助Pastebin存储平台作为命令解析中转站，利用Pastebin上的文本链接指向一个控制IP地址，以下载攻击脚本。该脚本根据受感染设备的CPU架构检测环境，终止已有的木马进程，拉取并启动主攻击负载。主负载负责发起TCP和UDP洪泛式攻击，展现出较强的弹性和隐蔽性。Hpingbot的DDoS攻击依赖于hping3工具，这是一款广泛用于网络测试的开源工具，能够构造并发送定制的ICMP、TCP和UDP数据包。Hpingbot在Linux系统上通过apt命令安装hping3，从而借助其强大功能执行高强度攻击。
Windows版本虽然不能直接调用hping3，却依然频繁活跃，表明攻击者同样利用其下载与执行其他任意恶意负载的能力，暗示未来可能进行更复杂的多阶段攻击。令人关注的是，Hpingbot目前正在不断演进，2025年6月下旬开始，攻击者采用了不依赖Pastebin和hping3的新型攻击模块，直接通过内置的协议函数发动UDP和TCP洪水，显示出高度的自足性及攻击灵活性。分析源代码中出现的德语调试注释，推测最新版本仍处在测试或优化阶段，提示攻击势头或将加剧。针对上述安全挑战，组织和开发者均需提高警惕。首要防护措施是避免在生产环境暴露JDWP接口，如非必需应完全禁用调试模式；若需要使用，务必通过防火墙或VPN限制访问，仅允许信任端点进行调试。对于SSH服务管理，则必须实施强密码策略，启用多因素认证，定期扫描和修复弱口令账户，防止密码喷射攻击得逞。
此外，监控异常流量和资源占用，发现异常矿工进程或DDoS攻击行为及时响应，对整合安全态势感知和做好事故溯源十分重要。综合来看，JDWP接口暴露与Hpingbot僵尸网络事件再次警示我们，传统调试工具和远程管理协议如果配置不当，将成为敌手的“引路人”，为其提供方便快捷的攻击载体。安全管理团队需要将开发环境的安全纳入整体防护架构，构建多层次防御体系，才能有效抵御此类高隐蔽性、快速传播的网络威胁。未来，随着云原生应用和自动化运维的普及，类似JDWP接口的调试协议安全风险仍将持续存在。对安全人员来说，必须持续追踪技术发展与攻击动态，加紧漏洞监测和补丁管理，不断优化检测规则，确保安全防线的稳固。同时，对Hpingbot这类基于现代编程语言开发的新兴恶意软件，研究其传播和攻击机理，有助于打造更精准的防护工具，提升关键信息基础设施的抵御能力。
只有通过全行业协同合作、技术创新与安全意识提升，才能遏制此类网络威胁蔓延，保障数字经济健康有序发展。
