曾为合法开源服务器监控工具的“哪吒(Nezha)”，近期被警告正遭网络犯罪分子利用，沦为远程访问木马(RAT)。据瑞士安全公司Ontinue称，攻击者正利用哪吒的正式功能进行探测规避。尤其值得注意的是，主要杀毒引擎据称也无法检测到它，这对企业安全构成了严重威胁。
哪吒原本是为中国开发者社区制作的开源工具，是支持服务器资源监控、异常告警、远程巡检等的实用工具。它在GitHub上获得了近1万颗星，一直保持活跃开发，但近期被发现正被网络攻击者滥用，作为入侵后维持内网权限的手段。
Ontinue在安全事件响应过程中，捕捉到攻击者利用bash脚本静默安装代理，并将其配置为与攻击者服务器通信的迹象。该脚本包含命令与控制(C2)服务器地址和认证密钥信息，并且具有禁用TLS加密、通过GitHub代理服务分发等结构，显示出有组织攻击活动的痕迹。
问题在于哪吒是正常软件。即使不利用特定漏洞，它也允许“系统级(Windows)”或“根权限(Linux)”的访问，并支持命令执行、交互式终端、文件操作等。因此，防御者容易将可疑行为误认为是常规维护而忽略。实际上，当天发现的攻击组织通过位于日本的阿里云IP，试图访问数百台设备。
对此，Qualys威胁研究团队的Mayuresh Dani分析称：“合法工具的恶意滥用并非新策略，这与TeamViewer等远程管理工具或‘Living-Off-the-Land’攻击技术类似。”他警告道：“问题在于哪吒代理毫无限制地提供系统或根权限，这是一种无需开发黑客工具即可行使强大控制力的危险方式。”
哪吒特有的通信结构也使得探测变得困难。它通过HTTP及gRPC协议，将仪表板流量与代理通信整合通过单一端口传输，因此看起来像普通的信息收集活动。这种伪装流量很容易绕过传统的基于特征的探测体系。
Dani对此建议道：“企业应事先列出所有远程监控及管理工具，并将基于异常行为的实时分析功能整合到安全解决方案中。”他补充说：“还需要考虑制定限制特定RMM工具生命周期的策略，以阻止重复或长期的滥用。”
此次哪吒案例再次发出警示，即使是通用的开源工具，也可能随时落入攻击者之手用于恶意目的。特别是在以云为主的现代基础设施环境中，合法与非法的界限变得模糊，防御策略的范式转变势在必行。
