VPNFilter

VPNFilter是一种针对网络设备（如路由器）固件的恶意软件，其主要行为包括但不限于蠕虫感染、中间人攻击、特洛伊木马、破坏受感染的路由器固件等。FBI经过调查认为是由俄罗斯黑客集团Fancy Bear制作。
至2018年5月，全球约50万台网络通信设备的固件遭受感染（数量仍在持续增加中），不仅最初发现该恶意软件的Cisco、Linksys、Netgear等厂商的设备受影响，华硕、D-Link、Ubiquiti、华为、中兴、TP-Link、MikroTik、QNAP等众多厂牌的设备也有不同程度的感染，规模超乎对此介入调查的FBI的预期。受感染的设备要彻底除去该恶意软件只能重置路由器的固件（返回出厂设置），然后立即更改设备的默认管理密码，单纯的重启虽然能一定程度上遏制该恶意软件的后续动作，但除了并不能阻止“感染复发”以外还有变成僵尸网络的风险。

操作细节

VPNFilter在遭受感染的设备中对该设备所在网络位置的网络流量进行数据包分析，获取该网络下的密码、用户名、数字签名等安全认证信息，在某些时候还会运行数据篡改、对设备进行其它控制操作，包括作为往后使用这些窃取的认证信息进行攻击的中继点，并隐藏这些攻击行为。
具体一些模块的细节，像是Tor模块可用于与远程的加密通信；ssller模块可用于中间人攻击，向网络注入恶意流量负载，修改发送的流量，将HTTPS降级为HTTP，对Google、Facebook、Twitter和Youtube等站的流量进行调整以便监视；dstr模块会在必要时先抹掉VPNFilter的行动踪迹，再删除固件内的一些必要软件以达到破坏被感染设备的目的。还有其它的功能模块，不少是基于现有的恶意软件重新编译打包而来。
该恶意软件还对对其进行追踪的行为有一定的反制措施。而且该恶意软件仍在持续演化中。

缓解及解决

Cisco和Symantec针对这些受感染设备影响，发表了用户可操作的解决措施。
其中，根除措施是重置路由器设备（返回出厂设置），对于小型家用级别的设备，可使用惯常的用牙签、针等尖锐物按压设备重置孔内的按键达到重置目的（具体视不同设备而定）；一种是如果设备官方有固件更新，可按照固件安装说明重置固件并重新安装路由器的固件。不过无论何种方式达到了移除恶意程序的目的，原厂默认的设备管理密码是必须修改的，这也是防范再次感染的方法。
另一种方法是针对不能即时重置系统的临时缓解措施，由于设备受感染后，即便重启设备也只能暂时清除恶意软件，但仍处于感染的第一阶段，仍会试图通过某个网址重新下载恶意软件本体并继续感染其它网络通信设备。
该恶意程序也引起了美国联邦调查局（FBI）的高度关注，在Cisco发表对VPNFliter的信息安全报告后随即展开了调查，不久就通过追踪在受感染设备第一阶段进行下载恶意软件时的重定向路径找到一个域名为“toknowall.com”的网址来源，但网址并没有明文显示，而是随机域名重定向至此而得。针对病毒的第一阶段的感染，目前FBI一方面通过法院授权获取了对“toknowall.com”的控制权，将之重定向至空链接（实际上是FBI的蜜罐，或是未知的行动），以避免第二、三阶段的感染（但该缓解方法非长久之计，仍有变成僵尸网络的风险），而另一方面试图以蜜罐的方式获得更多的下载来源以追查发布者。