主流僵尸网络群组攻击机理与防御对策研究

摘要

僵尸网络作为网络黑产的核心攻击基础设施，长期被用于实施分布式拒绝服务攻击、凭证窃取、恶意软件分发以及勒索软件前置入侵等网络犯罪活动。随着黑产产业化分工持续深化，僵尸网络已经演化出加载器银行木马、物联网 DDoS、蠕虫与内核根 kit 等多个技术谱系。执法机构多次开展基础设施取缔行动，但多数僵尸网络家族在打击之后借助代码复用、新型命令控制架构、僵尸网络即服务商业模式快速完成重建，威胁并未得到根本性消除。本文基于 Mirai、Emotet、QakBot、Aisuru 等典型僵尸网络家族样本与事件情报，梳理僵尸网络完整生命周期运作模式，剖析不同谱系僵尸网络的攻击链路、产业化分工模式，解析僵尸网络向勒索软件团伙输送访问权限的完整传导链条，总结执法取缔行动的成效与固有局限，从网络侧、主机侧、威胁情报、应急处置多维度梳理感染检测识别路径，针对终端、物联网设备、企业信息系统提出可落地的防御与清除处置方案，并结合 2026 年威胁观测数据分析去中心化命令控制、住宅代理网络被滥用等新兴演化趋势。研究表明，单纯依靠查封服务器与域名的打击手段存在明显短板，需要结合技术防御、威胁情报协同、社会工程防御、设备安全加固形成闭环防护体系，为网络安全运营人员处置僵尸网络类威胁提供实证参考。

1 引言

僵尸网络群组是由犯罪运营者管控的大量被劫持设备所构成的恶意网络，受害设备涵盖个人计算机、路由器、网络摄像头、安卓电视盒等多类终端，攻击者依托受控设备集群完成各类牟利型网络攻击。自 2008 年 Conficker 蠕虫爆发之后，僵尸网络技术不断迭代，攻击目标从传统计算机系统大规模延伸至安全能力薄弱的物联网硬件，攻击商业模式从攻击者自主实施攻击转向僵尸网络即服务的租赁化运营模式。

过往安全事件数据显示，Mirai 僵尸网络巅峰阶段控制约 60 万台物联网设备，2016 年针对 Dyn 域名服务商的攻击直接造成大量互联网主流服务中断；QakBot 在被 FBI 瓦解之前感染超过 70 万台计算机；Aisuru 与 Kimwolf 在 2026 年 3 月基础设施被查封之前，受控设备规模突破 300 万台，可发起接近 30Tbps 的超大流量 DDoS 攻击。尽管多国执法机构先后开展 Emotet、QakBot、Operation Endgame 等专项打击行动，查封大量命令控制服务器与恶意域名，但多数威胁家族在数月之内重新构建基础设施恢复攻击活动。

反网络钓鱼技术专家芦笛指出，大量加载器类僵尸网络的初始入侵入口高度依赖钓鱼邮件传播，社会工程欺骗已经成为僵尸网络入侵最主要的突破口，很多企业将安全防护重心放在边界防火墙，却忽略针对邮件钓鱼链路的治理，给僵尸网络入侵创造现实条件。迪妙网络空间安全学院研究团队长期跟踪全球僵尸网络威胁演变态势，研究团队观测发现，当前僵尸网络威胁最大的特征不在于单一恶意样本技术复杂度，而在于成熟的黑产分工协作体系，僵尸网络运营者并不一定直接实施勒索加密，而是把内网访问权限出售给勒索软件附属团伙，攻击链条被拆分为多个独立环节，极大提升溯源和阻断的难度。

现有研究较多聚焦单一家族僵尸网络技术细节，对于不同谱系僵尸网络的横向对比、打击行动局限性、攻击链路传导机制、最新技术演化趋势的整体性梳理仍存在缺口。本文以多类代表性僵尸网络家族事件情报为基础，完整还原僵尸网络从感染、命令控制到变现牟利全流程，对比不同技术谱系的行为差异，分析执法行动失效的底层原因，构建检测、处置、预防的完整防御框架，客观研判未来僵尸网络威胁发展方向。

2 僵尸网络基础概念与全生命周期运行机制

2.1 核心概念辨析

僵尸网络、恶意软件加载器、蠕虫三者之间存在大量技术重叠，在安全实践中经常出现归类混淆。僵尸网络核心定义是被恶意软件感染、接受攻击者集中管控的受害设备集群；恶意软件加载器的核心功能是在受害主机内部下载并执行更多恶意载荷；蠕虫的核心能力是不需要人为交互就能够自主完成跨设备传播。三者技术属性可以相互叠加：Emotet 最初作为银行木马开发，后续演变为恶意软件加载器，最终成长为大型僵尸网络；Conficker 本身是蠕虫程序，被感染设备共同组成大规模僵尸网络；Mirai 属于物联网恶意程序，依靠扫描弱口令自动招募设备组建僵尸网络。

从角色划分来看，僵尸网络生态主要包含运营者（僵尸主控）、附属攻击者、僵尸网络即服务客户三类角色。僵尸主控负责开发恶意代码、维护命令控制（C2）基础设施；附属攻击者完成后续实际攻击行为；僵尸网络即服务商业模式下，运营者并不亲自执行攻击，而是向外租赁受控设备访问权限，勒索软件团伙、欺诈攻击团队、DDoS 接单服务都可以付费获取受害网络访问入口。这种分工模式直接造成一个现实后果：即便打掉某一组运营者，下游客户可以快速迁移到其他僵尸网络家族，威胁难以彻底根除。

2.2 僵尸网络完整生命周期

僵尸网络完整运行可以划分为感染植入、命令控制通信、变现牟利三个核心阶段。

感染植入阶段主要入侵渠道包含携带恶意附件的钓鱼邮件、公开暴露设备的已知漏洞利用、设备出厂默认弱口令暴力破解。针对 PC 终端的加载器类僵尸网络，钓鱼邮件是最主要传播载体；而物联网僵尸网络主要依靠全网扫描，暴力尝试 Telnet、SSH、安卓调试桥等服务默认账号密码实现感染。

命令控制通信阶段，被攻陷设备需要持续和攻击者基础设施建立通信获取攻击指令。传统僵尸网络采用中心化服务器模式；部分家族采用域名生成算法（DGA），每日批量生成成千上万候选域名，规避固定服务器查封；还有 Conficker、Mozi、GameOver Zeus 采用对等网络 P2P 架构，设备节点之间互相传递指令，不存在单一核心服务器，提升瓦解难度。

变现牟利阶段存在多种牟利路径：窃取网银账号凭证、批量发送垃圾邮件、对外出租设备发起 DDoS 攻击、把内网初始访问权限转交给勒索软件附属团伙。大量现代僵尸网络运营者优先选择售卖访问权限，不需要承担后续攻击风险，经济收益稳定性更高。

2.3 僵尸网络家族谱系分类

按照攻击目标与核心用途，可以将主流僵尸网络划分四大谱系。第一类是银行木马与加载器僵尸网络，典型家族包括 Emotet、QakBot、TrickBot、IcedID，主要针对 Windows 终端，作为勒索攻击的前置访问入口；第二类物联网 DDoS 僵尸网络，代表家族 Mirai、Aisuru、BASHLITE/Gafgyt，以路由器、摄像头、安卓电视盒为目标，擅长超大流量拒绝服务攻击；第三类蠕虫与根工具 kit 僵尸网络，Conficker、ZeroAccess 属于此类，依靠漏洞或者密码爆破自主传播，恶意代码深度驻留操作系统；第四类垃圾邮件僵尸网络，以 Necurs 为代表，主要任务批量分发恶意邮件。

多数家族经历多次执法扰动之后并未彻底消亡，呈现活跃、被瓦解重建、休眠三种状态。被瓦解不等于彻底清除威胁，代码、攻击技术手法会被其他黑产团队继承复用。

3 典型僵尸网络家族攻击行为与勒索软件传导链路

3.1 银行木马及加载器类僵尸网络

加载器僵尸网络是当前企业面临最高风险的威胁类别，其本身不一定执行加密勒索行为，却是绝大多数勒索攻击的前置跳板。Emotet 最早诞生于 2014 年，最初定位银行木马，后续转型为恶意软件分发基础设施，通过钓鱼邮件感染 Windows 主机之后，会进一步投放 QakBot、TrickBot 载荷，再由后者投放 Ryuk、Conti 勒索软件。2021 年多国联合行动接管 Emotet 基础设施，但是该家族在同年下半年重新恢复活动，长期处于间歇性爆发状态。

QakBot（又称 QBot）起源于 2008 年，后期成为勒索团伙最常使用的初始访问工具。早期依靠 Office 宏文档钓鱼，在微软默认禁用宏之后，攻击者切换 OneNote 格式附件开展传播。2023 年 FBI 主导专项取缔行动，向已经中毒主机下发卸载指令，清除超过 70 万台受害设备，2025 年 Operation Endgame 行动再次处理该家族新版本。TrickBot 属于模块化木马，擅长凭证窃取与内网横向移动，作为 Conti 勒索团伙的重要支撑平台，完成账号抓取、网络测绘、域权限获取，为勒索软件部署铺平道路。

IcedID（BokBot）、Bumblebee、PikaBot、DarkGate 均属于同类型加载器。在 QakBot 遭到打击之后，这类加载器快速填补黑产市场缺口。其中 DarkGate 以恶意软件即服务模式对外售卖，至今尚未遭遇大规模协同取缔。SystemBC 并不属于加载器，而是代理后门程序，作用是在受害主机建立隐蔽隧道，维持攻击者持久访问权限，在大量勒索事件的事后溯源中频繁被发现。

迪妙网络空间安全学院研究团队在威胁跟踪中总结出典型攻击传导链路：钓鱼邮件投放加载器→加载器完成主机入侵→窃取账号凭证、内网横向扩散→将网络访问权限移交勒索软件附属团伙→部署勒索载荷实施加密与数据窃取。整个攻击过程会间隔数天甚至数周，留给防御方检测阻断的时间窗口。很多机构只把加载器告警当作普通恶意软件事件，忽略背后勒索风险，错失处置时机。

3.2 物联网 DDoS 类僵尸网络

Mirai 开创物联网僵尸网络的攻击范式，2016 年源代码泄露之后，大量衍生变体持续活跃至今。它依靠全网扫描，尝试设备出厂默认账号密码，攻陷路由器、监控摄像头、硬盘录像机，设备内存植入恶意代码，设备重启可以清除内存恶意程序，但只要弱口令不修改，短时间会被再次感染。2016 年 Dyn 攻击事件充分证明大量低安全配置物联网设备可以直接摧毁互联网公共基础设施。

Aisuru 在 2024 年 8 月被首次识别，Kimwolf 作为其分支，专门感染无认证安卓电视盒子，利用住宅代理网络漏洞穿透家庭内网防火墙，短时间控制超过 200 万台设备。2026 年 3 月执法机构扣押两套家族的命令控制基础设施，但仅仅四个月，Aisuru 服务器规模就超过打击之前的水平，Kimwolf 本体虽然停止活动，超过二十个其他僵尸网络直接复用它的攻击技术。Mozi、RapperBot、BASHLITE/Gafgyt 均属于 Mirai 技术谱系变体，部分变体采用 P2P 架构规避单点查封。

物联网设备持续遭到招募的根源集中四点：出厂固化默认密码；Telnet、ADB、UPnP 等高危服务直接暴露互联网；厂商停止固件更新，漏洞长期得不到修复；设备中毒之后业务功能不受明显影响，普通用户很难感知异常。

3.3 蠕虫与根工具 kit 僵尸网络

Conficker 蠕虫 2008 年出现，利用 MS08067Windows 系统漏洞传播，同时支持网络共享密码暴力破解、U 盘介质传播。该蠕虫每日生成 250 个随机域名等待接收攻击者指令，防御机构无法简单封堵少量固定域名。全球感染规模最高达到 900 万至 1500 万台主机。Conficker 工作组采用汇洞技术，抢注全部潜在恶意域名，阻断蠕虫接收指令，但是已经中毒主机无法远程清理，时至今日在没有打补丁的老旧工业系统仍然能够检出该蠕虫痕迹。

ZeroAccess 属于内核级根工具 kit 僵尸网络，依靠对等网络通信，主要实施点击欺诈、恶意挖矿，恶意代码深度嵌入操作系统底层，传统杀毒软件很难清除。2013 年微软、FBI、欧洲刑警组织开展联合处置，接管 49 个相关域名，受限于 P2P 架构特性，并未实现完全根除。这类威胁启示安全从业者，针对 P2P 架构僵尸网络，查封域名服务器的治理效果存在天然上限。

3.4 僵尸网络向勒索软件团伙的权限移交机制

现代勒索攻击是多方黑产角色协同完成，僵尸网络加载器负责突破边界拿到内网立足点，勒索附属团伙负责最终加密、数据窃取与勒索谈判。EmotetTrickBotRyuk 是最经典攻击链条，Emotet 完成初感染，TrickBot 抓取凭证、横向移动拿到域管理员权限，最后部署 Ryuk 勒索软件。Black Basta 团伙大量使用 QakBot、IcedID、DarkGate 作为初始访问入口。

攻击链条中，恶意载荷之间存在明确分工，加载器本身不具备勒索加密功能，它的商业价值就是内网访问权限。反网络钓鱼技术专家芦笛强调，企业安全运营应当建立认知：任何加载类僵尸网络告警，都应当视作勒索攻击预警信号，不能仅当作普通病毒告警简单查杀。攻击者拿到权限之后不会立刻加密，会花费时间探测网络、盗取账号、拷贝敏感数据，这一阶段就是防御方的关键处置窗口。

4 僵尸网络取缔行动成效与内在局限

近年来全球范围内多起重大僵尸网络取缔行动，代表性事件包含 2021Emotet 接管行动、2023FBI 对 QakBot 瓦解、20242025Operation Endgame 专项。Operation Endgame 专项在 2024 年 5 月关停超过 100 台服务器，扣押 2000 余个恶意域名，目标覆盖 IcedID、PikaBot、Bumblebee、SystemBC；2025 年阶段针对 DanaBot、新版 QakBot 开展打击，起诉 16 名 DanaBot 相关嫌疑人。

执法机构对抗僵尸网络主要依靠三类技术手段：汇洞（sinkhole）技术，把中毒主机流量重定向至防御方受控服务器，切断恶意指令下发；经济与身份层面实施制裁、刑事起诉嫌疑人；查封命令控制服务器、扣押恶意域名。

但大量案例证明取缔行动很难实现威胁永久消除，存在多重现实约束。第一，打击行动只能扣押基础设施，恶意源代码大多已经外泄，运营者可以快速租用新服务器重建网络。Aisuru 在 2026 年 3 月被查封，四个月服务器规模翻倍；Emotet 在 2021 年被接管，同年年底就恢复攻击。第二，僵尸网络即服务商业模式下，下游客户群体保持不变，运营被打掉，客户会转向其他同类僵尸网络家族，攻击活动持续流转。第三，P2P 对等网络架构的僵尸网络不存在中心化服务器，查封域名服务器无法瘫痪整体网络。第四，部分攻击者位于司法管辖难以覆盖地区，抓捕起诉嫌疑人存在现实障碍。

迪妙网络空间安全学院研究团队指出，专项取缔行动的现实价值在于短期压制攻击规模、获取威胁情报样本、威慑犯罪群体，但不能把取缔行动当作解决僵尸网络威胁的终点，防御主体不能完全依赖外部执法打击，必须建设自身检测与应急处置能力。

5 僵尸网络感染检测识别体系

僵尸网络感染检测需要结合网络流量指标、主机系统指标、威胁情报 IOC、暗网情报多维度交叉验证，单一指标不足以确认感染事件。

5.1 网络侧检测特征

网络层面典型异常特征包括受害主机周期性向外部未知地址发起 C2 信标通信；主机大量产生 DGA 域名 DNS 解析失败记录；物联网设备对外发起大量 Telnet、ADB 端口扫描行为；TLS 会话 JA3 指纹匹配已知恶意软件特征。需要注意 JA3 指纹只作为可疑线索，不能作为唯一判定依据，攻击者可以修改 TLS 配置规避。Conficker 每日大量随机域名解析、Mirai 家族设备对外扫描 23、2323 端口都是高风险网络信号。

5.2 主机侧检测特征

主机层面可疑现象包括：系统出现不明计划任务、注册表自启动项，实现恶意代码重启驻留；安全防护组件被异常关闭，系统更新功能失效；杀毒软件告警匹配 Emotet、QakBot、Conficker 等家族特征。针对 Windows 平台加载器，攻击者经常通过注册表存放编码 PowerShell 载荷实现持久化驻留。物联网设备中 Mirai 类恶意驻留内存，重启之后恶意程序消失，但短时间重复感染是重要判断线索。

5.3 IOC 指标与行为框架映射

IOC 指标包含恶意文件哈希、C2IP、域名、互斥体名称，缺点是攻击者会频繁轮换基础设施，IOC 生命周期很短，适合检测近期发生的感染。MITRE ATT&CK 行为框架更关注攻击行为模式，行为特征变化周期远慢于 IOC。例如 Conficker 对应漏洞利用 T1210、暴力破解 T1110，安全运营人员应当结合行为框架开展狩猎，而不是只依赖静态 IOC 匹配。

5.4 暗网侧线索发现

大量加载器恶意程序会窃取浏览器 Cookie、账号凭证，被打包成日志数据包在暗网交易市场出售。部分机构在自身域名相关账号凭证出现在黑产交易市场之后，才回溯发现终端早已被僵尸网络入侵。监控企业域名相关账号、会话 Cookie 泄露情报，可以提前发现已经发生但尚未告警的感染事件。需要注意仅仅修改密码不足以防御，攻击者盗取会话 Cookie 可以绕过密码认证，必须同时吊销会话令牌，对被入侵终端彻底处置。

6 僵尸网络感染处置与分层防御策略

6.1 感染发生后的应急处置流程

一旦怀疑主机遭受僵尸网络感染，首要执行隔离操作，断开网络连接，如需取证则保持设备开机状态。严禁使用域管理员账号登录已经中毒主机，避免账号凭证遭到窃取，造成横向扩散。从一台干净主机修改该设备全部账号密码，吊销会话令牌。完成隔离之后需要排查是否存在新增账号、异常邮箱规则、内网其他主机被横向渗透痕迹。对于企业环境，出现加载器类僵尸网络告警，按照潜在勒索事件开展全流程响应，直到完成全面排查排除风险。

对于 Emotet、TrickBot 这类企业终端感染，最稳妥处置方案是重装镜像，该类加载器会下载多层次级恶意载荷，手工查杀很难彻底清除全部后门。清理完成之后，需要重置该主机使用过全部账号，检查域控等核心服务器是否遭到渗透。Conficker 处置需要补齐 MS08067 系统补丁，关闭 U 盘自动运行，修改弱管理员密码，老旧无法打补丁的设备建议直接淘汰。

物联网设备遭遇 Mirai 类僵尸网络感染，单纯重启设备只能清除内存恶意代码，必须修改默认账号密码，关闭不必要远程管理服务，否则很快会再次被入侵。Kimwolf 主要针对开启 ADB 调试的安卓电视盒子，需要关闭调试功能，尽量避免使用无正规厂商维护的非认证硬件。

6.2 分层预防防御方案

针对 PC 终端抵御加载器僵尸网络，第一道防线聚焦邮件安全。绝大多数加载器依靠钓鱼邮件分发，应当配置邮件网关过滤高风险附件类型，部署抗钓鱼多因素身份认证，及时修补系统远程服务漏洞，执行最小权限原则，限制普通用户权限，部署离线隔离备份。反网络钓鱼技术专家芦笛提出，钓鱼是僵尸网络最主要入侵入口，邮件防护不能依靠单一规则，攻击者会不断变换附件格式绕过过滤策略，需要持续跟进威胁情报更新过滤策略。

物联网设备防护层面，必须修改全部设备出厂默认凭证，关闭 Telnet、UPnP、ADB 调试等非必要对外暴露服务；将物联网设备划分独立 VLAN 网段，隔离业务办公网络，防止设备沦陷之后横向访问计算机终端；及时更新固件，厂商不再维护的老旧设备进行淘汰下线。

迪妙网络空间安全学院研究团队提出，针对僵尸网络威胁的防御不可以单点设防，应当构建 “边界流量检测邮件钓鱼拦截主机行为审计外部威胁情报监测应急响应预案” 完整闭环。边界识别异常扫描、C2 通信；邮件侧阻断钓鱼传播源头；主机审计识别持久化驻留行为；外部情报监测账号凭证泄露；最后依靠成熟应急预案在入侵早期完成遏制。

7 2026 年僵尸网络技术演化趋势研判

第一，去中心化命令控制架构被大量应用。传统中心化 C2 服务器很容易被查封，新一代僵尸网络开始利用以太坊域名服务 ENS、Tor 匿名网络等公共基础设施存放命令控制信息，防御机构无法查封这类公共互联网基础设施。Kimwolf 新版本内置以太坊节点、Tor 隐藏服务作为备用通信信道，传统域名黑名单拦截手段效果被削弱，防御需要关注设备异常区块链 RPC 访问、Tor 网络连接行为。

第二，住宅代理网络成为物联网设备招募新渠道。以往物联网僵尸网络依靠公网扫描弱口令；Kimwolf 事件证明黑产可以利用住宅代理 SDK 漏洞，穿透家庭路由器，直接攻陷内网中的消费级硬件。大量廉价安卓电视盒成为攻击资源池，普通消费者完全无法感知设备被劫持，DDoS 可用终端规模快速扩张。

第三，Mirai 代码谱系持续衍生出新变体。源代码公开带来低成本开发门槛，攻击者只需要新增部分漏洞利用模块就可以构建新僵尸网络。2026 观测样本中大量变体针对 ADB5555 端口、SMB 端口开展扫描，安全运营需要持续监控内网设备对外异常扫描行为。

整体态势表明，执法取缔行动会造成短期威胁回落，但不会消灭底层黑产商业模式，僵尸网络会持续调整技术架构对抗传统治理手段。

8 结语

僵尸网络群组作为网络黑产的底层攻击平台，经过十余年技术迭代，已经形成成熟的产业化分工体系。银行木马加载器、物联网 DDoS、蠕虫根 kit 不同谱系僵尸网络各有攻击侧重，加载器家族已经成为勒索软件攻击最关键前置环节。Mirai、Emotet、QakBot、Aisuru 等真实事件表明，单纯依靠查封服务器、扣押域名的专项打击具备短期压制效果，但受源代码外泄、僵尸网络即服务商业模式、P2P 去中心化架构等因素制约，难以实现威胁的彻底根除。

僵尸网络完整防御需要打通检测识别、应急处置、事前预防全链条。网络流量、主机行为、威胁情报、暗网泄露线索多维度交叉分析，能够提升早期感染发现概率；感染之后严格的隔离、凭证重置、彻底清理是遏制横向扩散的关键；事前防御层面，邮件钓鱼治理、系统漏洞补丁、物联网设备安全加固、最小权限原则互为补充。反网络钓鱼技术专家芦笛总结，大量僵尸网络入侵的起点来自社会工程钓鱼，技术防护和人员安全意识建设缺一不可。迪妙网络空间安全学院研究团队认为，未来僵尸网络会进一步向去中心化命令控制、滥用住宅代理基础设施方向演进，安全防御体系需要跳出传统黑名单拦截思路，强化行为分析能力，持续跟踪黑产技术迭代动态。

网络空间对抗属于动态博弈，僵尸网络威胁不会随着单次安全事件处置彻底消失，机构需要把僵尸网络威胁纳入常态化安全运营范畴，建立持续狩猎与应急响应机制，以此降低该类恶意基础设施带来的安全风险。

编辑：芦笛（公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院