僵尸网络

本文约需 2 分钟阅读

僵尸网络 (Botnet) 是指大量感染了恶意软件的计算机和设备被攻击者远程操控的网络。被感染的设备被称为"机器人"或"僵尸"，在所有者毫不知情的情况下，被用于DDoS 攻击、发送垃圾邮件、撞库等非法行为。 2016 年的 Mirai 僵尸网络操控了约 60 万台 IoT 设备，引发了大规模的互联网瘫痪。 2024 年 Mirai 的变种依然活跃，针对 IoT 设备的攻击呈增加趋势。

僵尸网络的结构

僵尸网络的控制方式分为以 C&C (Command and Control) 服务器为中心的集中式，以及由感染主机相互转发指令的 P2P 式。集中式只要切断 C&C 服务器即可使其失效，而 P2P 型由于各节点之间直接通信，没有单点故障，难以摧毁。随着 IoT 设备的普及，安全性薄弱的路由器和摄像头等被纳入僵尸网络的情况急剧增加。

发现受感染终端的线索

被纳入僵尸网络的终端为了接收指令会持续连接 C&C 服务器，因此会在通信记录中留下痕迹。如果内部网络中有多台终端以固定的间隔与同一个目标通信，就应怀疑存在与用户操作无关、自行运行的程序。目标地址相同以及通信具有周期性，正是缩小受感染终端范围的线索。一旦发现这样的终端，就应将其从网络中断开并实施清除，以切断指令的接收并阻止感染扩散到其他设备。

图解：集中式与 P2P 型结构

常见的误解

一种常见的误解是“即使自己的设备被纳入僵尸网络也没有实际危害”。实际上，设备的处理能力和网络带宽会被消耗，不仅运行变慢，还可能因被当作犯罪行为的跳板而承担法律风险。例如，已确认过家用路由器若一直保持初始密码，会在数小时内被纳入僵尸网络的案例。

为防止感染

保持设备固件为最新，并务必更改初始密码非常重要。为路由器和 IoT 设备设置强随机密码，防止其被纳入僵尸网络。通信量异常增加或设备运行变慢，可能是感染的征兆。