什么是僵尸网络？
僵尸网络（Botnet）是"机器人网络"（robot network）的缩写，指由被恶意软件感染的计算机、智能手机、路由器及其他联网设备组成的集合。一旦被感染，每台设备就会变成一个"机器人"（bot，也称"僵尸"），响应被称为僵尸主控端或命令与控制服务器（C2服务器）的中央控制者发出的指令。设备所有者通常完全不知道自己的设备已成为其中一员。
僵尸网络的规模从数百台设备到数百万台遍布全球的设备不等。有史以来发现的一些最大僵尸网络——如 Mirai 和 Zeus——曾同时控制数十万台设备。
僵尸网络是如何运作的？
僵尸网络的生命周期通常分为以下几个关键阶段：
- 感染： 设备通过钓鱼邮件、恶意下载、未修补的软件漏洞，或路由器及物联网设备的弱密码遭到入侵。
- 招募： 恶意软件悄然完成自我安装，并连接回攻击者的命令与控制服务器。被感染的设备随即被"纳入"僵尸网络。
- 激活： 僵尸主控端同时向所有僵尸设备下达指令，指示它们发送垃圾邮件、发起攻击、窃取数据或挖掘加密货币。
- 执行： 僵尸设备执行所分配的任务，且往往规模极大——因为数千台设备合力所产生的能量远超任何单一机器。
现代僵尸网络通常采用点对点架构，而非依赖单一的 C2 服务器，这使得它们更难被摧毁。即使某个节点被移除，网络的其余部分仍可继续运作。
僵尸网络的常见用途
许多有记录的最具破坏性的网络攻击都与僵尸网络有关。以下是攻击者的典型用途：
- DDoS 攻击（分布式拒绝服务攻击）： 向网站或服务器持续涌入流量，直至其崩溃。这是僵尸网络最常见的应用之一。
- 垃圾邮件活动： 通过感染设备发送数十亿封钓鱼邮件或广告邮件，以规避检测。
- 撞库攻击： 利用窃取的用户名/密码组合，自动尝试登录数千个网站。
- 加密货币劫持（Cryptojacking）： 劫持设备的处理能力，为攻击者挖掘加密货币。
- 数据窃取： 从感染设备中获取银行凭证、个人信息及敏感文件。
- 广告欺诈： 对广告产生虚假点击，以骗取广告收益。
僵尸网络与 VPN 用户的关系
VPN 用户并非对僵尸网络免疫——在某些情况下，VPN 基础设施甚至会成为直接攻击目标或无意中的参与方。
你的设备可能已是僵尸。 VPN 会加密你的流量，但无法防御已安装在设备上的恶意软件。一旦你的设备遭到入侵，攻击者就能通过它进行操作，无论 VPN 是否处于活动状态。
免费 VPN 曾被用于构建僵尸网络。 部分声誉不良的免费 VPN 服务曾被发现将用户设备纳入僵尸网络，实质上是将用户的带宽和处理能力出售给第三方。臭名昭著的 Hola VPN 事件便是一个有据可查的典型案例。
僵尸网络被用于攻击 VPN 服务器。 由僵尸网络驱动的大规模 DDoS 攻击可以针对 VPN 基础设施，导致服务中断，或迫使用户切换至安全性较低的连接。
IP 声誉问题： 如果你的网络连接曾是僵尸网络的一部分，你的 IP 地址即使在恶意软件被清除后，仍可能被网站和服务标记或列入黑名单。
如何保护自己
为避免在不知情的情况下成为僵尸设备，请保持所有软件和固件更新，使用强且唯一的密码，启用双重身份验证，并运行可信赖的杀毒软件。对于无法清晰说明其商业模式的免费 VPN 服务，请保持警惕。将可信赖的 VPN 与良好的安全习惯相结合，可有效缩小整体攻击面。
了解僵尸网络是理解现代网络威胁的关键——因为它们的目标不仅限于企业。任何联网设备，包括你的设备，都可能成为潜在的招募对象。